WO2019030984A1 - 制御装置、制御方法、およびコンピュータプログラム - Google Patents

制御装置、制御方法、およびコンピュータプログラム Download PDF

Info

Publication number
WO2019030984A1
WO2019030984A1 PCT/JP2018/015553 JP2018015553W WO2019030984A1 WO 2019030984 A1 WO2019030984 A1 WO 2019030984A1 JP 2018015553 W JP2018015553 W JP 2018015553W WO 2019030984 A1 WO2019030984 A1 WO 2019030984A1
Authority
WO
WIPO (PCT)
Prior art keywords
engine
control device
vehicle
ecu
permitted
Prior art date
Application number
PCT/JP2018/015553
Other languages
English (en)
French (fr)
Inventor
泉　達也
Original Assignee
住友電気工業株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 住友電気工業株式会社 filed Critical 住友電気工業株式会社
Priority to DE112018004090.9T priority Critical patent/DE112018004090T5/de
Priority to JP2018541380A priority patent/JP6465258B1/ja
Priority to US16/342,121 priority patent/US10625754B2/en
Priority to CN201880051827.1A priority patent/CN111032438B/zh
Publication of WO2019030984A1 publication Critical patent/WO2019030984A1/ja

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/08—Interaction between the driver and the control system
    • B60W50/14—Means for informing the driver, warning the driver or prompting a driver intervention
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B60R16/0231—Circuits relating to the driving or the functioning of the vehicle
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/03—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for supply of electrical power to vehicle subsystems or for
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02N—STARTING OF COMBUSTION ENGINES; STARTING AIDS FOR SUCH ENGINES, NOT OTHERWISE PROVIDED FOR
    • F02N11/00—Starting of engines by means of electric motors
    • F02N11/08—Circuits or control means specially adapted for starting of engines
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02N—STARTING OF COMBUSTION ENGINES; STARTING AIDS FOR SUCH ENGINES, NOT OTHERWISE PROVIDED FOR
    • F02N11/00—Starting of engines by means of electric motors
    • F02N11/10—Safety devices
    • F02N11/101—Safety devices for preventing engine starter actuation or engagement
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02N—STARTING OF COMBUSTION ENGINES; STARTING AIDS FOR SUCH ENGINES, NOT OTHERWISE PROVIDED FOR
    • F02N15/00—Other power-operated starting apparatus; Component parts, details, or accessories, not provided for in, or of interest apart from groups F02N5/00 - F02N13/00
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0001—Details of the control system
    • B60W2050/0019—Control system elements or transfer functions
    • B60W2050/0026—Lookup tables or parameter maps
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0062—Adapting control system settings
    • B60W2050/0075—Automatic parameter input, automatic initialising or calibrating means
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W2050/0062—Adapting control system settings
    • B60W2050/0075—Automatic parameter input, automatic initialising or calibrating means
    • B60W2050/0083—Setting, resetting, calibration
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2556/00—Input parameters relating to data
    • B60W2556/45—External transmission of data to or from the vehicle
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2710/00—Output or target parameters relating to a particular sub-units
    • B60W2710/06—Combustion engines, Gas turbines
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2710/00—Output or target parameters relating to a particular sub-units
    • B60W2710/18—Braking system
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2710/00—Output or target parameters relating to a particular sub-units
    • B60W2710/20—Steering systems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W2710/00—Output or target parameters relating to a particular sub-units
    • B60W2710/30—Auxiliary equipments
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02N—STARTING OF COMBUSTION ENGINES; STARTING AIDS FOR SUCH ENGINES, NOT OTHERWISE PROVIDED FOR
    • F02N2200/00—Parameters used for control of starting apparatus
    • F02N2200/08—Parameters used for control of starting apparatus said parameters being related to the vehicle or its components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/60—Software deployment
    • G06F8/65—Updates
    • G06F8/654—Updates using techniques specially adapted for alterable solid state memories, e.g. for EEPROM or flash memories

Definitions

  • the present invention relates to a control device, a control method, and a computer program.
  • This application claims priority based on Japanese Patent Application No. 2017-155361 filed on Aug. 10, 2017, and incorporates all the contents described in the aforementioned Japanese application.
  • ECUs Electronic Control Units
  • EPS Electric Power Steering
  • a body system ECU that controls lighting / extinguishing of a light and sounding of an alarm device
  • a meter system ECU that controls the operation of meters disposed near the driver's seat.
  • the ECU is configured by an arithmetic processing unit such as a microcomputer, and the control of the on-vehicle device is realized by reading and executing the control program stored in a ROM (Read Only Memory).
  • the control program of the ECU may differ depending on the destination or grade of the vehicle, and it is necessary to rewrite the control program of the old version to the control program of the new version in response to the upgrade of the control program. Further, it is also necessary to rewrite data necessary for executing the control program, such as map information and control parameters.
  • Patent Document 1 discloses a technology (on-line update function) of downloading a program for update via a network and updating the program.
  • the control device defines a communication unit for communicating with one or more in-vehicle control devices via an in-vehicle communication line, and whether the in-vehicle control device is a permitted device or a non-permitted device described below.
  • the monitoring unit monitoring the presence or absence of the user operation instructing start of the engine, the update status of the control program in the on-vehicle control device at the time of detection of the user operation, and the reference table And a determination unit that determines whether to start the engine according to the user operation.
  • Permitted device On-vehicle control device which permits engine start during updating of control program
  • Non-permitted device On-vehicle control device which does not permit starting of engine during updating of control program
  • the control method is a method of controlling an on-vehicle control device by a control device that communicates with one or more on-vehicle control devices via an in-vehicle communication line, and the control device is Storing a reference table defining whether the device is a permitted device or a non-permitted device, and monitoring the presence or absence of a user operation instructing start of the engine, and a control program in the in-vehicle control device at the time of detection of the user operation Determining whether to start the engine according to the user operation based on the update status of and the reference table.
  • Permitted device On-vehicle control device which permits engine start during updating of control program
  • Non-permitted device On-vehicle control device which does not permit starting of engine during updating of control program
  • the computer program is a computer program for causing a computer to function as a control device that communicates with one or more in-vehicle control devices via an in-vehicle communication line, and the computer is an in-vehicle control device And a monitoring unit that stores a reference table that defines whether the device is a permitted device or a non-permitted device, and monitors the computer for the presence or absence of a user operation instructing start of the engine;
  • the control unit functions as a determination unit that determines whether to start the engine according to the user operation based on the update status of the control program in the device and the reference table.
  • Permitted device On-vehicle control device which permits engine start during updating of control program
  • Non-permitted device On-vehicle control device which does not permit starting of engine during updating of control program
  • FIG. 1 is an overall configuration diagram of a program update system.
  • FIG. 2 is a block diagram showing an internal configuration of the gateway.
  • FIG. 3 is a block diagram showing an internal configuration of the ECU.
  • FIG. 4 is a block diagram showing an internal configuration of the management server.
  • FIG. 5 is a sequence diagram showing an example of the flow of on-line updating of the control program executed in the program updating system.
  • FIG. 6A is a diagram showing an example of a notification screen displayed on the user interface device.
  • FIG. 6B is a diagram illustrating another example of the notification screen displayed on the user interface device.
  • FIG. 7 is a flowchart showing the specific contents of the update control process in the program update system according to the first embodiment.
  • FIG. 8 is a schematic diagram showing another example of the power supply configuration of the vehicle.
  • the online update is automatically executed as disclosed in Patent Document 1, the user does not notice that the online update is in progress, and the engine start operation is performed.
  • the update may fail.
  • the ECU that has failed in updating the control program is an ECU that controls a mechanism related to the start of the engine, there is a risk that the start of the engine may fail even if the start operation is performed.
  • An object in one aspect of the present disclosure is to provide a control device, a control method, and a computer program capable of avoiding that an engine is not started due to a failure of online update due to a voltage drop accompanying engine start.
  • the present embodiment includes at least the following. That is, (1) A communication unit that communicates with one or more in-vehicle control devices via an in-vehicle communication line, and a storage unit that stores a reference table that defines whether the in-vehicle control device is a permitted device or not permitted , A monitoring unit that monitors the presence or absence of a user operation instructing start of the engine, an update status of a control program in the on-vehicle control device at the time of detection of the user operation, and an engine according to the user operation And a determination unit that determines whether or not to start.
  • Permitted device On-vehicle control device that permits engine start during update of control program
  • Non-permitted device On-vehicle control device that does not permit engine start during update of control program Permitted device / non-permitted device is properly set in reference table
  • the determination unit determines that the start of the engine is not possible when the following condition 1 is satisfied, and determines that the start of the engine is possible when the following condition 2 or 3 is satisfied.
  • Condition 1 The control program is being updated at the time of detection of the user operation instructing start, and there is an on-vehicle control device which is a non-permitted device.
  • Condition 2 The control program is being updated at the time of detection of the user operation instructing start. There is no in-vehicle control device that is
  • Condition 3 The control program is being updated at the time of detection of the user operation instructing starting, and there is an in-vehicle control device that is a permitted device. Determination using preset conditions.
  • the permission device is a vehicle-mounted control device connected to the first power supply that supplies power to the starter for starting the engine via the voltage holding circuit, and the non-permission device is not via the voltage holding circuit It is an in-vehicle control device connected to the first power supply.
  • the voltage of the first power supply is reduced at the start of the starter, so when the control program is being updated by the on-board controller supplied with power from the voltage, the power required for the update is not supplied and the update fails There is a risk of Therefore, the failure of the update can be avoided by defining the on-vehicle control device connected to the first power source as the non-permitted device.
  • the permission device is an on-vehicle control device connected to the second power source that does not supply power to the starter for starting the engine, and the non-permission device is not connected to the second power source to start the engine It is an on-vehicle control device connected to a first power supply for supplying power to the starter.
  • the on-vehicle control device connected to the second power supply can avoid the influence of the voltage drop in the first power supply by receiving the power supply from the second power supply. Therefore, by using such an on-vehicle control device as the permission device, it is possible to start the engine according to the user operation while continuing the update of the control program.
  • the determination unit starts the engine with the in-vehicle control device as the permission device when the in-vehicle control device is connected to the first power supply via the in-vehicle control device defined as the permission device in the reference table.
  • the permission device is at least one of on-vehicle control devices that controls each of a plurality of devices included in the following device group.
  • Device group Brake, power steering, in-vehicle air conditioner, meter, audio, navigation device, room light
  • the above device group generally has a connection relationship that is not affected by the voltage drop of the power source with respect to the first power source. There are many. Therefore, by defining at least one of the on-vehicle control devices that control each of the device groups as the permission device, it is possible to start the engine according to the user operation while continuing the update of the control program.
  • the permitted device is a vehicle-mounted control device having a memory for backup of the control program
  • the non-permitted device is a vehicle-mounted control device not having a memory for backup.
  • the control device further includes a control unit that controls the communication unit, and the control unit controls the communication unit to control the engine when the determination unit determines that the start of the engine is possible. Send an instruction to start the engine.
  • the engine is started when it is determined that the start of the engine is possible, and the engine is not started when it is determined that the start is not possible. Therefore, a failure in updating the control program due to the start of the engine or a failure in starting the engine can be avoided.
  • the control unit causes the communication unit to notify the user that the on-vehicle control device that controls the user interface device can not start the engine. Send an instruction to notify.
  • the user who has performed the operation for instructing the engine start can know that the engine is not started according to the operation.
  • the control method included in the present embodiment is a method of controlling the in-vehicle control device in the control device according to any one of (1) to (9). This control method has the same effect as the control device of the above (1) to (9).
  • a computer program included in the present embodiment causes a computer to function as the control device described in any one of (1) to (9). Such a computer program has the same effect as the control device of the above (1) to (9).
  • FIG. 1 is an overall configuration diagram of a program update system according to an embodiment of the present invention.
  • the program update system of the present embodiment includes a vehicle 1 that can communicate via the wide area communication network 2, a management server 5, and a DL (download) server 6.
  • the management server 5 manages the update information of the vehicle 1.
  • the DL server 6 stores the update program.
  • the management server 5 and the DL server 6 are operated, for example, by a car maker of the vehicle 1 and can communicate with a large number of vehicles 1 owned by a user who has been registered as a member in advance.
  • an in-vehicle network (communication network) 4 including a plurality of ECUs 30 and a gateway 10 connected by an in-vehicle communication line 16, a wireless communication unit 15, and various in-vehicle devices (shown in FIG. Not shown) and are mounted.
  • the on-vehicle apparatus includes a user interface device 7 such as a display and a speaker and a starter (hereinafter abbreviated as ST) 43.
  • the in-vehicle network 4 has a plurality of in-vehicle communication lines, and includes a plurality of communication groups by a plurality of ECUs 30 bus-connected to each of the in-vehicle communication lines.
  • the gateway 10 relays communication between communication groups. For this reason, a plurality of in-vehicle communication lines are connected to the gateway 10.
  • the plurality of ECUs 30 include the ECUs 30A to 30D shown in FIG.
  • the ECU 30D controls the user interface device 7.
  • the ECU 30C controls ST43.
  • a user operation for starting the engine hereinafter, also referred to as a start operation
  • the ECU 30C drives ST43 to rotationally drive a crankshaft of the engine (not shown) to start the engine.
  • the start operation is, for example, an operation of pressing a button (not shown) instructing start of the engine, input of a wireless signal instructing start of the engine from the remote control key, an operation of turning the engine key, or the like.
  • the vehicle 1 also has a battery (hereinafter, abbreviated as BAT) 42 as a power supply system.
  • BAT 42 is connected to the ST 43 connected via the power supply line 17 indicated by a thick line, one or more ECUs 30A-1, 30A-2, ... (these are representatively referred to as ECU 30A), and further, a voltage holding circuit 41.
  • the power is supplied to one or more ECUs 30 B- 1, 30 B- 2,...
  • the ECU 30B connected to the BAT 42 through the voltage holding circuit 41 is, for example, an ECU that controls a brake, a power steering, an in-vehicle air conditioner, various meters, an audio, a navigation device, and a room light.
  • the ECU 30A connected to the BAT 42 without passing through the voltage holding circuit 41 is an ECU other than the above, for example, an ECU that controls a power window and a door mirror.
  • the voltage holding circuit 41 is not limited to a specific circuit configuration.
  • voltage holding circuit 41 includes a resistor and a diode (not shown) connected in parallel, and a capacitor connected in series to the parallel connection.
  • the voltage holding circuit 41 holds the output voltage of the BAT 42 which is transiently lowered in voltage at the time of engine start and the like.
  • the wireless communication unit 15 is communicably connected to a wide area communication network 2 such as a cellular phone network, and is connected to the gateway 10 by an in-vehicle communication line.
  • the gateway 10 transmits the information received by the wireless communication unit 15 from an external device such as the management server 5 and the DL server 6 through the wide area communication network 2 to the ECU 30 via the in-vehicle communication line 16.
  • the gateway 10 transmits the information acquired from the ECU 30 to the wireless communication unit 15, and the wireless communication unit 15 transmits the information to an external device such as the management server 5 or the like. Further, the ECUs 30 transmit and receive information via an in-vehicle communication line.
  • the wireless communication unit 15 mounted on the vehicle in addition to the dedicated communication terminal mounted on the vehicle, for example, a device such as a mobile phone owned by the user, a smartphone, a tablet terminal, a notebook PC (Personal Computer) can be considered.
  • FIG. 1 exemplifies a case where the gateway 10 communicates with an external device via the wireless communication unit 15, when the gateway 10 has a wireless communication function, the gateway 10 itself may be a management server 5 or the like.
  • the configuration may be such that wireless communication is performed with an external device.
  • each of the management server 5 and the DL server 6 may be composed of a plurality of devices.
  • FIG. 2 is a block diagram showing an internal configuration of the gateway 10.
  • the gateway 10 includes a CPU 11, a random access memory (RAM) 12, a storage unit 13, an in-vehicle communication unit 14, and the like.
  • the gateway 10 is connected to the wireless communication unit 15 via an in-vehicle communication line, but these may be configured by one device.
  • the CPU 11 causes the gateway 10 to function as a relay device for various information by reading out one or more programs stored in the storage unit 13 to the RAM 12 and executing the program.
  • the CPU 11 can execute a plurality of programs in parallel by switching and executing a plurality of programs in time division, for example.
  • the CPU 11 may represent a plurality of CPU groups. In this case, the functions realized by the CPU 11 are realized by the cooperation of a plurality of CPU groups.
  • the RAM 12 is configured by a memory element such as an SRAM (Static RAM) or a DRAM (Dynamic RAM), and temporarily stores programs executed by the CPU 11 and data required for the execution.
  • the computer program realized by the CPU 11 can be transferred while being recorded in a known recording medium such as a CD-ROM or a DVD-ROM, or can be transferred by information transmission from a computer device such as a server computer.
  • transfer (transmission) of data to a lower device by the upper device is also referred to as “downloading”.
  • the storage unit 13 is configured by a non-volatile memory element such as a flash memory or an EEPROM.
  • the storage unit 13 stores a program executed by the CPU 11, data necessary for the execution, and the like, and stores an update program and the like of each ECU 30 to be downloaded, which is received from the DL server 6.
  • a plurality of ECUs 30 are connected to the in-vehicle communication unit 14 via an in-vehicle communication line disposed in the vehicle 1.
  • the in-vehicle communication unit 14 performs communication (also referred to as CAN communication) with the ECU 30 according to, for example, the standard of CAN (Controller Area Network).
  • the communication standard adopted by the in-vehicle communication unit 14 is not limited to CAN, and CANFD (CAN with Flexible Data Rate), LIN (Local Interconnect Network), Ethernet (registered trademark), or MOST (Media Oriented Systems Transport: MOST is a registered trademark) Or the like.
  • the plurality of in-vehicle communication lines may include different communication standards.
  • the in-vehicle communication unit 14 transmits the information given from the CPU 11 to the target ECU 30 and gives the information received from the ECU 30 to the CPU 11.
  • the in-vehicle communication unit 14 may communicate not only with the above communication standard but also with another communication standard used for the in-vehicle network 4.
  • the wireless communication unit 15 is a wireless communication device including an antenna and a communication circuit that performs transmission and reception of a wireless signal from the antenna.
  • the wireless communication unit 15 can communicate with an external device by being connected to a wide area communication network 2 such as a cellular phone network.
  • the wireless communication unit 15 transmits the information given from the CPU 11 to the device outside the vehicle such as the management server 5 via the wide area communication network 2 formed by the base station (not shown), and sends the information received from the device outside the vehicle to the CPU 11 give.
  • a wired communication unit functioning as a relay device in the vehicle 1 may be employed.
  • the wired communication unit has a connector to which a communication cable conforming to the standard such as USB (Universal Serial Bus) or RS232C is connected, and performs wired communication with another communication device connected via the communication cable.
  • a communication cable conforming to the standard such as USB (Universal Serial Bus) or RS232C
  • FIG. 3 is a block diagram showing an internal configuration of the ECU 30.
  • the ECU 30 includes a CPU 31, a RAM 32, a storage unit 33, a communication unit 34, and the like.
  • the ECU 30 is an on-vehicle control device that individually controls target devices mounted on the vehicle 1.
  • the types of ECUs 30 include, for example, a power supply control ECU, an engine control ECU, a steering control ECU, and a door lock control ECU.
  • the CPU 31 reads one or more programs stored in advance in the storage unit 33 into the RAM 32 and executes the programs to control the operation of the target device that the CPU 31 takes charge of.
  • the CPU 31 may also represent a plurality of CPU groups, and the control by the CPU 31 may be control by cooperation of a plurality of CPU groups.
  • the RAM 32 is configured by a memory element such as an SRAM or a DRAM, and temporarily stores programs executed by the CPU 31 and data necessary for the execution.
  • the storage unit 33 is configured by a non-volatile memory element such as a flash memory or an EEPROM, or a magnetic storage device such as a hard disk.
  • the storage unit 33 stores a program read and executed by the CPU 31.
  • the information stored in the storage unit 33 includes, for example, a computer program for causing the CPU 31 to execute information processing for controlling a target device to be controlled in the vehicle, and the program such as parameters and map information.
  • the control program which is the data used at the time is included.
  • a gateway 10 is connected to the communication unit 34 via an in-vehicle communication line disposed in the vehicle 1.
  • Communication unit 34 communicates with gateway 10 in accordance with a standard such as CAN, Ethernet, or MOST, for example.
  • the communication unit 34 transmits the information given from the CPU 31 to the gateway 10, and gives the information received from the gateway 10 to the CPU 31.
  • the communication unit 34 may communicate not only with the above communication standard but also with another communication standard used for the in-vehicle network.
  • the CPU 31 of the ECU 30 includes an activation unit 35 that switches the control mode of the CPU 31 to either the “normal mode” or the “reprogramming mode”.
  • the normal mode refers to a control mode in which the CPU 31 of the ECU 30 executes the inherent control (for example, engine control for the fuel engine, door lock control for the door lock motor, etc.) for the target device.
  • the reprogramming mode is a control mode in which a control program used to control a target device is updated. That is, the reprogramming mode is a control mode in which the CPU 31 erases and rewrites data of the control program with respect to the ROM area of the storage unit 33. The CPU 31 can update the control program stored in the ROM area of the storage unit 33 to a new version only in this control mode.
  • the activation unit 35 When the CPU 31 writes the control program of the new version in the storage unit 33 in the reprogramming mode, the activation unit 35 once restarts (resets) the ECU 30 and executes verification processing on the storage area in which the control program of the new version is written. Do.
  • the start-up unit 35 operates the CPU 31 with the control program after the update after the completion of the verification process.
  • the update program is downloaded from the DL server 6 to the ECU 30 via the gateway 10, and updating the control program using the update program is also referred to as online update.
  • FIG. 4 is a block diagram showing an internal configuration of the management server 5.
  • the management server 5 includes a CPU 51, a ROM 52, a RAM 53, a storage unit 54, a communication unit 55, and the like.
  • the CPU 51 reads one or a plurality of programs stored in advance in the ROM 52 into the RAM 53 and executes them to control the operation of each hardware, and causes the management server 5 to function as an external device capable of communicating with the gateway 10.
  • the CPU 51 may also represent a plurality of CPU groups, and a function realized by the CPU 51 may be realized by a plurality of CPU groups in cooperation.
  • the RAM 53 is configured of a memory element such as an SRAM or a DRAM, and temporarily stores programs executed by the CPU 51 and data required for the execution.
  • the storage unit 54 is configured of a non-volatile memory element such as a flash memory or an EEPROM, or a magnetic storage device such as a hard disk.
  • the communication unit 55 is a communication device that executes communication processing in accordance with a predetermined communication standard, and is connected to a wide area communication network 2 such as a mobile telephone network to execute the communication processing.
  • the communication unit 55 transmits the information provided from the CPU 51 to an external device via the wide area communication network 2, and supplies the information received via the wide area communication network 2 to the CPU 51.
  • FIG. 5 is a sequence diagram showing an example of the flow of on-line updating of the control program executed in the program updating system of the present embodiment.
  • One or more update programs are stored in the DL server 6.
  • the management server 5 determines the timing of updating the control program of the ECU of the vehicle 1 registered in advance.
  • the timing of the update may be set by, for example, a car maker of the vehicle 1 or the like.
  • control program includes not only the program itself but also data used when executing the program, such as parameters and map information. They are represented as "control program". Therefore, the update program includes not only the program for updating the program but also data for updating data used when the program is executed.
  • the management server 5 When it is time to update the control program, the management server 5 notifies the gateway 10 of the corresponding vehicle 1 of the update (step S1). In step 1, the management server 5 sends, to the gateway 10, update information such as the storage destination URL of the update program and the size of the update program together with the download request.
  • the gateway 10 having received the notification of update from the management server 5 relays the update program downloaded from the DL server 6 to an ECU (hereinafter, target ECU) 30 which updates the control program. That is, the gateway 10 requests the DL server 6 to download the update program based on the update information (step S2).
  • the DL server 6 requested for download from the gateway 10 transmits the update program to be downloaded to the gateway 10 and also requests update of the control program (step S3).
  • the gateway 10 transfers the update program to the target ECU 30, and requests update of the control program (step S4).
  • the gateway 10 may transfer the update program by receiving permission for update from the user.
  • the gateway 10 executes start control processing for controlling the start of the engine of the vehicle 1 (step S6).
  • the start control process will be described later.
  • FIG. 5 shows an example in which the start control process is started after the gateway 10 requests the target ECU 30 to update in step S4, the start control process is always executed regardless of the timing of the update request. It may be done. In other words, the start control process may be performed in parallel with the online update flow of FIG.
  • the target ECU 30 that has received the update program develops the update program according to the request from the gateway 10, and updates the control program (step S5).
  • the target ECU 30 notifies the gateway 10 of the update completion (step S7).
  • the gateway 10 having received this notification notifies the DL server 6 of the update completion (step S8).
  • the start control process of step S6 of FIG. 5 includes the lower three processes STEP1 to STEP3 executed in this order.
  • STEP1 Monitoring process to monitor presence / absence of start operation
  • STEP2 Determination process for determining whether or not start-up of ST43 according to start operation
  • STEP3 Start control process for starting ST43 according to the determination result in the determination process
  • CPU 11 of gateway 10 executes, as a function for executing the start control process, monitoring unit 111 that executes the monitoring process, a determination unit 112 that executes the determination process, and the start control process. And a control unit 113.
  • These functions are functions realized by the CPU 11 by reading and executing one or a plurality of programs stored in the storage unit 13 by the CPU 11. However, at least part of the function may be realized by hardware such as an electronic circuit.
  • the function of the CPU 11 represented by the monitoring unit 111 (hereinafter, the monitoring unit 111) monitors whether or not the start operation has been performed by monitoring a frame received from the ECU 30C that controls ST43.
  • the function of the CPU 11 represented by the determination unit 112 determines whether the start of ST43 according to the start operation, that is, whether the engine can be started.
  • the determination unit 112 does not permit engine start. Therefore, in the storage unit 13 of the gateway 10, a reference table TA capable of specifying an ECU that permits or does not permit engine start is stored in advance.
  • the reference table TA shown in FIG. 2 defines, for example, for each ECU, whether or not to permit the engine start during the update in the ECU.
  • the reference table TA may be a table that defines only ECUs that permit engine start. In this case, the determination unit 112 determines that the ECUs not specified in the table can not start the engine.
  • the reference table TA may be a table that defines only ECUs that are not permitted to start the engine. In this case, the determination unit 112 determines that the engine start is possible for the ECUs not specified in the table.
  • the determination unit 112 determines that the start of the engine is not possible when the following condition 1 is satisfied, and determines that the start of the engine is possible when the following condition 2 or 3 is satisfied.
  • Condition 1 There is an ECU being updated at the time of start operation detection, and the target ECU is a non-permitted ECU
  • Condition 2 There is no ECU being updated at the time of start operation detection
  • Condition 3 ECUs being updated at the time of start operation detection And that the target ECU is a permitted ECU
  • the reference table TA defines that the ECU is a permitted ECU or a non-permitted ECU by (A) or (B) below. Alternatively, it may be defined by a combination of (A) and (B) below.
  • (A) Connection relationship to power supply (B) Configuration of storage unit 33
  • the permission ECU and the non-permission ECU are the following ECUs, respectively.
  • Permitted ECU ECU connected to the BAT 42 through the voltage holding circuit 41
  • Non-permitted ECU ECU connected to BAT 42 not via voltage holding circuit 41
  • the ECU 30B is a permission ECU
  • the ECU 30A is a non-permission ECU.
  • the ECU 30A connected to the BAT 42 without the voltage holding circuit 41 may not be supplied with the power necessary for updating due to the voltage drop of the BAT 42 accompanying the start of the engine. Therefore, if the ECU 30A is updating, the update may fail. Therefore, the failure of the update can be avoided by not allowing the engine start.
  • the ECU 30B connected to the BAT 42 via the voltage holding circuit 41 holds the supplied electric power even when the voltage of the BAT 42 is decreased as the engine is started. Therefore, even during the update in the ECU 30B, the power is not affected. Therefore, by permitting the engine start, the update can be continued while the engine is started according to the user operation.
  • the permitted ECU and the non-permitted ECU are the following ECUs, respectively.
  • Permitted ECU an ECU whose storage unit 33 includes both the first memory 331 and the second memory 332
  • Non-permitted ECU ECU that includes the first memory 331 in the storage unit 33 and does not include the second memory 332
  • the first memory 331 and the second memory 332 are shown in FIG. 3 and are storage areas having the following functions.
  • First memory Functional memory for storing a program read and executed by the CPU 31
  • Second memory standby memory used for program backup
  • the ECU 30 including the first memory 331 in the storage unit 33 and not the second memory 332 does not include the second memory 332. If the update fails due to the voltage drop of the BAT 42 accompanying the engine start during the update, the control program before updating the ECU If you do not return to the program, engine start may fail. Therefore, failure to start the engine can be avoided by not allowing the ECU to start the engine.
  • the control program before updating is held in one of the memories, and the control program is updated in the other memory. To be done. Therefore, even if the update fails due to the voltage drop of the BAT 42 accompanying the engine start during the update, the pre-update control program held can be used. This makes it possible to avoid an engine start failure following the start operation.
  • the function of the CPU 11 represented by the control unit 113 controls the ECU 30 (the ECU 30C in FIG. 1) that controls ST43 when the determination result in the determination unit 112 indicates that the engine can be started.
  • the start of ST43 is instructed. Therefore, the control unit 113 generates a frame that is information transmitted by CAN communication with the ECU 30C.
  • the frame includes data instructing start of ST43.
  • the in-vehicle communication unit 14 transmits the frame to the ECU 30C.
  • the control unit 113 When the determination result in the determination unit 112 indicates that the engine can not be started, the control unit 113 does not execute the above-described start control process. Preferably, the control unit 113 executes a start control process in which the user interface device 7 notifies the user that the engine start is not permitted.
  • the user interface device 7 is a display
  • the determination unit 112 causes the user interface device 7 to display, for example, the notification screen of FIG. 6A. Therefore, the control unit 113 generates a frame to be transmitted to the ECU 30D that controls the user interface device 7.
  • the frame includes data for instructing display of the notification screen of FIG. 6A.
  • the in-vehicle communication unit 14 transmits the frame to the ECU 30C.
  • the control unit 113 acquires the time (update time) X required for the update completion in the target ECU, and includes the time in the frame.
  • the update time X may be acquired from the management server 5, or may be calculated from the size of the update program acquired from the management server 5 and the processing capacity of the target ECU stored in advance. As a result, as shown in FIG. 6A, it is possible to display the time until the engine can be started on the user interface device 7.
  • control unit 113 when the user interface device 7 is a device that receives a user operation such as a touch panel, the control unit 113 causes the user interface device 7 to receive the notification screen of FIG. It may be displayed. When the user operation is received, control unit 113 instructs the target ECU to interrupt the update. This allows the user to prioritize engine start over update of the control program.
  • FIG. 7 is a flowchart showing a specific example of the start control process of step S6 of FIG.
  • the processing shown in the flowchart of FIG. 7 realizes each function shown in FIG. 2 by the CPU 11 of the gateway 10 reading out one or more programs stored in the storage unit 13 onto the RAM 12 and executing the program. It is executed by doing.
  • the process of FIG. 7 may be started when the gateway 10 is started, or may be started after requesting the target ECU to update in step S4.
  • CPU 11 monitors whether or not the start operation has been performed by monitoring a frame received from ECU 30C that controls ST43.
  • the CPU 11 confirms whether there is an ECU whose control program is being updated. If there is no ECU updating the control program at the time the start operation is performed (NO in step S103) (condition 2 above), the engine start according to the start operation is allowed without reading the reference table TA. It determines (step S109). In this case, the CPU 11 generates a frame including data instructing start of ST43 to the ECU 30C that controls ST43, and causes the in-vehicle communication unit 14 to transmit the frame to the ECU 30C. Thereby, ST43 starts according to the user's start operation, and the engine starts.
  • the CPU 11 When there is an ECU whose control program is being updated when the start operation is performed (YES in step S103), the CPU 11 reads the reference table TA of the storage unit 13 (step S105), and determines whether the target ECU is a permitted ECU Whether or not the start of ST43, that is, the start of the engine can be determined depending on whether the ECU is a non-permitted ECU.
  • the CPU 11 determines that the engine start according to the start operation is possible (step S109). In this case, the CPU 11 generates a frame including data instructing start of ST43 to the ECU 30C that controls ST43, and causes the in-vehicle communication unit 14 to transmit the frame to the ECU 30C. Thereby, ST43 starts according to the user's start operation, and the engine starts.
  • the CPU 11 determines that the engine start according to the start operation is not possible (step S111). In this case, the CPU 11 does not execute the process of transmitting the above-described frame to the ECU 30C. Alternatively, a frame including data instructing not to start ST43 is generated, and the in-vehicle communication unit 14 transmits the frame to the ECU 30C. Thus, even if the user performs the start operation, ST43 does not start and the engine does not start.
  • the CPU 11 when the user interface device 7 is a display, the CPU 11 generates a frame for displaying the notification screen of FIG. 6A or 6B and causes the in-vehicle communication unit 14 to control the user interface device 7 to the ECU 30D. Send the frame.
  • the notification screens of FIG. 6A and FIG. 6B are displayed on the user interface device 7, and the user can know the reason why the engine is not started according to the start operation.
  • the CPU 11 acquires the update time in the target ECU and includes it in the frame transmitted to the ECU 30D so as to be displayed on the notification screen as shown in FIG. 6A or 6B. Thereby, the user can know the time until the engine can be started. More preferably, when the CPU 11 receives the instruction to interrupt the update on the notification screen of FIG. 6B, the CPU 11 generates a frame instructing the target ECU to cancel the update process and causes the in-vehicle communication unit 14 to transmit the frame. This allows the user to prioritize engine start over update of the control program.
  • the target ECU is an ECU connected to the BAT 42 without passing through the voltage holding circuit 41
  • the engine is not started according to the start operation. Therefore, a failure in updating the control program due to the voltage drop accompanying the start of ST43 is avoided.
  • the engine is not started according to the start operation, and when the target ECU has the second memory 332, the engine is started.
  • the engine can be started according to the start operation.
  • FIG. 8 is a schematic diagram showing another example of the power supply configuration of the vehicle 1.
  • Vehicle 1 shown in FIG. 8 has a plurality of power supplies of a main battery (main BAT) 42A and a sub battery (sub BAT) 42B as a power supply system.
  • main BAT main battery
  • sub BAT sub battery
  • the main BAT 42A supplies electric power to the ST 43 connected via the power supply line 17, the ECU 30A, and the ECU 30B connected via the relay circuit 44 when the relay circuit 44 is ON.
  • the sub BAT 42 B supplies power to the ECU 30 B connected via the power supply line 17.
  • ECU 30E in FIG. 8 When another ECU (ECU 30E in FIG. 8) is connected to the ECU 30A connected to the main BAT 42A via the power supply line 17, the main BAT 42A also supplies power to the ECU 30E via the ECU 30A.
  • ECU 30E in FIG. 8 When another ECU (ECU 30E in FIG. 8) is connected to the ECU 30A connected to the main BAT 42A via the power supply line 17, the main BAT 42A also supplies power to the ECU 30E via the ECU 30A.
  • the permitted ECU and the non-permitted ECU are, for example, .
  • Permitted ECU ECU connected to sub BAT 42B
  • Non-permitted ECU ECU not connected to sub BAT 42 B and connected only to main BAT 42 A
  • the ECU 30B is a permission ECU
  • the ECU 30A is a non-permission ECU.
  • the ECU 30B connected to the sub BAT 42B is supplied with power from the sub BAT 42B even when the voltage of the main BAT 42A is lowered with the start of the engine. Therefore, even during the update, the main BAT 42A is not affected by the decrease in power. Thus, by permitting the engine start, the update can be continued while the engine is started according to the user operation.
  • the reference table TA shown in FIG. 1 defines a permitted / not permitted ECU for each of the ECUs mounted on the vehicle 1.
  • the reference table TA may not define permitted / non-permitted ECUs for all ECUs.
  • some of the ECUs such as an ECU newly installed after the table TA is stored in the storage unit 13 of the gateway 10, are not described.
  • the determination unit 112 Based on the connection relation of the target ECU to the intermediary ECU, it is determined whether or not the engine can be started. That is, determination unit 112 determines whether or not engine start can be performed based on whether the intermediary ECU is a permitted ECU or a non-permitted ECU in reference table TA.
  • the determination unit 112 uses the ECU 30A-1 to which the ECU 30E is connected as an intermediary ECU. It is determined whether the ECU 30A-1 is a permitted ECU or a non-permitted ECU in the reference table TA. As described above, since the ECU 30A-1 is a non-permitted ECU, the determination unit 112 determines that the engine start is not possible.
  • the ECU 30 (second ECU) that receives the power supply from the power supply via the ECU 30 (first ECU) specified as a non-permission ECU to be affected by the voltage drop of the power supply decreases the power of the power supply similarly to the first ECU. Affected by Therefore, the failure of the update in the said ECU can be avoided by not permitting engine starting during such update.
  • the disclosed features are realized by one or more modules.
  • the feature can be realized by a circuit element or other hardware module, a software module that defines a process for realizing the feature, or a combination of a hardware module and a software module.
  • the program may be provided as a program that is a combination of one or more software modules for causing a computer to execute the above-described operations.
  • a program is provided as a program product by recording it on a computer readable recording medium such as a flexible disk attached to a computer, a CD-ROM (Compact Disk-Read Only Memory), a ROM, a RAM and a memory card. It can also be done.
  • the program can be provided by being recorded in a recording medium such as a hard disk built in the computer.
  • the program can be provided by downloading via a network.
  • the program according to the present disclosure is to call a necessary module among program modules provided as a part of an operating system (OS) of a computer in a predetermined arrangement at a predetermined timing to execute processing. It is also good. In that case, the program itself does not include the above module, and the processing is executed in cooperation with the OS. Programs not including such modules may also be included in the programs according to the present disclosure.
  • OS operating system
  • the program according to the present disclosure may be provided by being incorporated into a part of another program. Also in this case, the program itself does not include a module included in the other program, and the process is executed in cooperation with the other program. Programs incorporated into such other programs may also be included in the programs according to the present disclosure.
  • the provided program product is installed and executed in a program storage unit such as a hard disk.
  • the program product includes the program itself and a recording medium in which the program is recorded.

Landscapes

  • Engineering & Computer Science (AREA)
  • Mechanical Engineering (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Automation & Control Theory (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Stored Programmes (AREA)
  • Combined Controls Of Internal Combustion Engines (AREA)

Abstract

１または複数の車載制御装置と車内通信線を介して通信する通信部と、前記車載制御装置が下記の許可装置であるか非許可装置であるかを規定する参照テーブルを記憶する記憶部と、エンジンの始動を指示するユーザ操作の有無を監視する監視部と、前記ユーザ操作の検出時における前記車載制御装置での制御プログラムの更新状況と、前記参照テーブルとに基づいて、前記ユーザ操作に従った前記エンジンの始動の可否を判定する判定部と、を備える、制御装置。　許可装置：制御プログラムの更新中のエンジン始動を許可する車載制御装置　非許可装置：制御プログラムの更新中のエンジン始動を許可しない車載制御装置

Description

制御装置、制御方法、およびコンピュータプログラム
　この発明は制御装置、制御方法、およびコンピュータプログラムに関する。
　本出願は、２０１７年８月１０日出願の日本出願第２０１７－１５５３６１号に基づく優先権を主張し、前記日本出願に記載された全ての記載内容を援用するものである。
　近年、自動車の技術分野においては、車両の高機能化が進行しており、多種多様な車載機器が車両に搭載されている。従って、車両には、各車載機器を制御するための制御装置である、所謂ＥＣＵ（Electronic　Control　Unit）が多数搭載されている。
　ＥＣＵの種類には、例えば、アクセル、ブレーキ、ハンドルの操作に対してエンジンやブレーキ、ＥＰＳ（Electric　Power　Steering）等の制御を行う走行系に関わるもの、乗員によるスイッチ操作に応じて車内照明やヘッドライトの点灯／消灯と警報器の吹鳴等の制御を行うボディ系ＥＣＵ、運転席近傍に配設されるメータ類の動作を制御するメータ系ＥＣＵなどがある。
　一般的にＥＣＵは、マイクロコンピュータ等の演算処理装置によって構成されており、ＲＯＭ（Read　Only　Memory）に記憶した制御プログラムを読み出して実行することにより、車載機器の制御が実現される。
　ＥＣＵの制御プログラムは、車両の仕向け地やグレードなど応じて異なることがあり、制御プログラムのバージョンアップに対応して、旧バージョンの制御プログラムを新バージョンの制御プログラムに書き換える必要がある。また、たとえば地図情報や制御用のパラメータなど、制御プログラムの実行に必要なデータも書き換える必要がある。
　たとえば、特許文献１には、ネットワークを介して更新用のプログラムをダウンロードし、プログラムの更新を行う技術（オンライン更新機能）が開示されている。
特開２０１５－３７９３８号公報
　ある実施の形態に従うと、制御装置は、１または複数の車載制御装置と車内通信線を介して通信する通信部と、車載制御装置が下記の許可装置であるか非許可装置であるかを規定する参照テーブルを記憶する記憶部と、エンジンの始動を指示するユーザ操作の有無を監視する監視部と、ユーザ操作の検出時における車載制御装置での制御プログラムの更新状況と、参照テーブルとに基づいて、ユーザ操作に従ったエンジンの始動の可否を判定する判定部と、を備える。
　　許可装置：制御プログラムの更新中のエンジン始動を許可する車載制御装置
　　非許可装置：制御プログラムの更新中のエンジン始動を許可しない車載制御装置
　他の実施の形態に従うと、制御方法は１または複数の車載制御装置と車内通信線を介して通信する制御装置による、車載制御装置の制御方法であって、制御装置は、車載制御装置が下記の許可装置であるか非許可装置であるかを規定する参照テーブルを記憶し、エンジンの始動を指示するユーザ操作の有無を監視するステップと、ユーザ操作の検出時における車載制御装置での制御プログラムの更新状況と、参照テーブルとに基づいて、ユーザ操作に従ったエンジンの始動の可否を判定するステップと、を備える。
　　許可装置：制御プログラムの更新中のエンジン始動を許可する車載制御装置
　　非許可装置：制御プログラムの更新中のエンジン始動を許可しない車載制御装置
　他の実施の形態に従うと、コンピュータプログラムは１または複数の車載制御装置と車内通信線を介して通信する制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、コンピュータは、車載制御装置が下記の許可装置であるか非許可装置であるかを規定する参照テーブルを記憶し、コンピュータを、エンジンの始動を指示するユーザ操作の有無を監視する監視部、および、ユーザ操作の検出時における車載制御装置での制御プログラムの更新状況と、参照テーブルとに基づいて、ユーザ操作に従ったエンジンの始動の可否を判定する判定部、として機能させる。
　　許可装置：制御プログラムの更新中のエンジン始動を許可する車載制御装置
　　非許可装置：制御プログラムの更新中のエンジン始動を許可しない車載制御装置
図１は、プログラム更新システムの全体構成図である。 図２は、ゲートウェイの内部構成を示すブロック図である。 図３は、ＥＣＵの内部構成を示すブロック図である。 図４は、管理サーバの内部構成を示すブロック図である。 図５は、プログラム更新システムにおいて実行される、制御プログラムのオンライン更新の流れの一例を示すシーケンス図である。 図６Ａは、ユーザインタフェース装置に表示される報知画面の一例を表した図である。 図６Ｂは、ユーザインタフェース装置に表示される報知画面の他の例を表した図である。 図７は、第１の実施の形態にかかるプログラム更新システムにおける更新制御処理の具体的な内容を表したフローチャートである。 図８は、車両の電源構成の他の例を表した概略図である。
＜本開示が解決しようとする課題＞
　エンジン始動時には、スタータを作動させるためにバッテリからスタータに大電流が供給される。そのため、バッテリの電圧が一時的に低下する。ＥＣＵで制御プログラムの更新中にスタータが作動してバッテリの電圧が低下すると、当該バッテリからＥＣＵに供給される電力が更新処理に必要な電力に達しなくなる場合がある。その場合、更新が中断したり、更新が成功しなかったりする、という、更新が失敗する問題が発生する。
　特に、特許文献１に開示されているようにオンライン更新が自動的に実行される場合には、ユーザは、オンライン更新中であることに気づかずにエンジンの始動操作をしてしまい、それによってオンライン更新に失敗してしまう場合もある。
　制御プログラムの更新に失敗したＥＣＵがエンジンの始動に関連する機構を制御するＥＣＵである場合、上記始動操作がなされた場合であってもエンジンの始動に失敗するおそれがある。
　本開示のある局面における目的は、エンジン始動に伴う電圧低下によるオンライン更新の失敗によってエンジンが始動されないことを回避できる制御装置、制御方法、およびコンピュータプログラムを提供することである。
＜本開示の効果＞
　この開示によると、エンジン始動に伴う電圧低下によるオンライン更新の失敗によってエンジンが始動されないことを回避できる。
［実施の形態の説明］
　本実施の形態には、少なくとも以下のものが含まれる。すなわち、
　（１）１または複数の車載制御装置と車内通信線を介して通信する通信部と、車載制御装置が下記の許可装置であるか非許可装置であるかを規定する参照テーブルを記憶する記憶部と、エンジンの始動を指示するユーザ操作の有無を監視する監視部と、ユーザ操作の検出時における車載制御装置での制御プログラムの更新状況と、参照テーブルとに基づいて、ユーザ操作に従ったエンジンの始動の可否を判定する判定部と、を備える、制御装置。
　　許可装置：制御プログラムの更新中のエンジン始動を許可する車載制御装置
　　非許可装置：制御プログラムの更新中のエンジン始動を許可しない車載制御装置
　参照テーブルにおいて許可装置／非許可装置が適切に設定されていることによって、エンジンの始動に伴う電圧低下の影響によって制御プログラムの更新が失敗することを回避できる。その結果、エンジン始動に伴う電圧低下によるオンライン更新の失敗によってエンジンが始動されないことを回避できる。
　（２）好ましくは、判定部は、下記の条件１を満たす場合にはエンジンの始動を不可と判定し、下記の条件２または条件３を満たす場合にはエンジンの始動を可と判定する。
　　条件１：始動を指示するユーザ操作の検出時に制御プログラムの更新中であり、かつ、非許可装置である車載制御装置があること
　　条件２：始動を指示するユーザ操作の検出時に制御プログラムの更新中である車載制御装置がないこと
　　条件３：始動を指示するユーザ操作の検出時に制御プログラムの更新中であり、かつ、許可装置である車載制御装置があること
　予め設定した条件を用いて判定することによって、高精度でエンジン始動の可否を判定することができる。そのため、高精度でエンジンの始動に伴う電圧低下の影響によって制御プログラムの更新が失敗することを回避できるとともに、更新に影響ない場合には始動を指示するユーザ操作に従ってエンジンを始動することができる。
　（３）好ましくは、許可装置は電圧保持回路を介してエンジン始動のためのスタータに電力供給する第１電源と接続されている車載制御装置であり、非許可装置は電圧保持回路を介さずに第１電源と接続されている車載制御装置である。
　上記第１電源はスタータ始動の際に電圧が低下するため、当該電圧から電力供給される車載制御装置で制御プログラムを更新中である場合には更新に必要な電力が供給されずに更新が失敗するおそれがある。そのため、第１電源に接続されている車載制御装置を非許可装置と規定しておくことで、更新の失敗を回避することができる。
　（４）好ましくは、許可装置はエンジン始動のためのスタータに電力供給しない第２電源と接続されている車載制御装置であり、非許可装置は第２電源と接続されずにエンジン始動のためのスタータに電力供給する第１電源と接続されている車載制御装置である。
　上記第２電源に接続されている車載制御装置は、第２電源からの電力供給を受けることによって第１電源における電圧低下の影響を回避することができる。そのため、このような車載制御装置を許可装置とすることによって、制御プログラムの更新を継続しつつ、ユーザ操作に従ってエンジンを始動することができる。
　（５）好ましくは、判定部は、車載制御装置が参照テーブルにおいて許可装置と規定された車載制御装置を介して第１電源と接続されている場合には車載制御装置を許可装置としてエンジンの始動の可否を判定する。
　他の車載制御装置を介して第１電源と接続され、第１電源から電力供給を受けている場合、第１電源の電圧低下の影響を受ける。そのため、このような車載制御装置で制御プログラムを更新中である場合には、第１電源の電圧低下によって更新が失敗するおそれがある。そのため、この車載制御装置を非許可装置と規定しておくことで、更新の失敗を回避できる。
　（６）好ましくは、許可装置は、下記の装置群に含まれる複数の装置それぞれを制御する車載制御装置のうちの少なくとも１つである。
　　装置群：ブレーキ、パワーステアリング、車内エアコン、メータ、オーディオ、ナビゲーション装置、室内灯
　上記装置群は、一般的に、第１電源に対して当該電源の電圧低下の影響を受けない接続関係であることが多い。そのため、これら装置群それぞれを制御する車載制御装置のうちの少なくとも１つが許可装置と規定されることによって、制御プログラムの更新を継続しつつ、ユーザ操作に従ってエンジンを始動することができる。
　（７）好ましくは、許可装置は制御プログラムのバックアップ用のメモリを有する車載制御装置であり、非許可装置はバックアップ用のメモリを有さない車載制御装置である。
　バックアップ用のメモリを有する車載制御装置を許可装置とすることによって、エンジンの始動に伴う電圧低下によって制御プログラムの更新の中断した場合であっても、エンジン始動が失敗することなく、ユーザ操作に従ってエンジンを始動することができる。
　（８）好ましくは、制御装置は通信部を制御する制御部をさらに備え、制御部は、判定部によってエンジンの始動が可と判定された場合に、通信部に、エンジンを制御する車載制御装置にエンジンの始動の指示を送信させる。
　これにより、エンジンの始動が可と判定された場合にエンジンが始動し、不可と判定された場合にエンジンが始動しない。そのため、エンジンの始動による制御プログラムの更新の失敗や、エンジン始動の失敗を回避することができる。
　（９）好ましくは、制御部は、判定部によってエンジンの始動が不可と判定された場合に、通信部に、ユーザインタフェース装置を制御する車載制御装置にエンジンの始動が不可であることをユーザに報知する指示を送信させる。
　これにより、エンジン始動を指示する操作を行ったユーザは、当該操作に従ってエンジンが始動されないことを知ることができる。
　（１０）本実施の形態に含まれる制御方法は、（１）～（９）のいずれか１つに記載の制御装置において車載制御装置を制御する方法である。
　かかる制御方法は、上記（１）～（９）の制御装置と同様の効果を奏する。
　（１１）本実施の形態に含まれるコンピュータプログラムは、コンピュータを、（１）～（９）のいずれか１つに記載の制御装置として機能させる。
　かかるコンピュータプログラムは、上記（１）～（９）の制御装置と同様の効果を奏する。
［実施の形態の詳細］
　以下に、図面を参照しつつ、好ましい実施の形態について説明する。以下の説明では、同一の部品および構成要素には同一の符号を付してある。それらの名称および機能も同じである。したがって、これらの説明は繰り返さない。
　＜第１の実施の形態＞
　〔システムの全体構成〕
　図１は、本発明の実施形態にかかるプログラム更新システムの全体構成図である。
　図１に示すように、本実施形態のプログラム更新システムは、広域通信網２を介して通信可能な車両１、管理サーバ５およびＤＬ（ダウンロード）サーバ６を含む。
　管理サーバ５は、車両１の更新情報を管理する。ＤＬサーバ６は、更新用プログラムを保存する。管理サーバ５およびＤＬサーバ６は、たとえば、車両１のカーメーカーにより運営されており、予め会員登録されたユーザが所有する多数の車両１と通信可能である。
　車両１には、車内通信線１６で接続された複数のＥＣＵ３０とゲートウェイ１０とを含む車内ネットワーク（通信ネットワーク）４と、無線通信部１５と、各ＥＣＵ３０によりそれぞれ制御される各種の車載機器（図示せず）と、が搭載されている。車載機器は、ディスプレイ、スピーカ等のユーザインタフェース装置７およびスタータ（以下、ＳＴと略する）４３を含む。
　車内ネットワーク４は複数の車内通信線を有し、車内通信線それぞれにバス接続された複数のＥＣＵ３０による複数の通信グループを含む。ゲートウェイ１０は、通信グループ間の通信を中継している。このため、ゲートウェイ１０には複数の車内通信線が接続されている。
　複数のＥＣＵ３０は、図１に示されたＥＣＵ３０Ａ～３０Ｄを含む。ＥＣＵ３０Ｄは、ユーザインタフェース装置７を制御する。ＥＣＵ３０Ｃは、ＳＴ４３を制御する。ＥＣＵ３０Ｃは、エンジン始動のためのユーザ操作（以下、始動操作とも称する）が行われるとＳＴ４３を駆動し、図示しないエンジンのクランク軸を回転駆動してエンジンを始動させる。始動操作は、たとえば、エンジン始動を指示する図示しないボタンの押下操作や、リモコンキーからのエンジン始動を指示する無線信号の入力や、エンジンキーをまわす操作、などである。
　また、車両１は、電源系としてバッテリ（以下、ＢＡＴと略する）４２を有する。ＢＡＴ４２は、太線で示された電源線１７を介して接続されたＳＴ４３、１つ以上のＥＣＵ３０Ａ－１，３０Ａ－２，…（これらを代表してＥＣＵ３０Ａとも称する）、および、さらに電圧保持回路４１を介して接続された１つ以上のＥＣＵ３０Ｂ－１，３０Ｂ－２，…（これらを代表してＥＣＵ３０Ｂとも称する）に電力を供給する。
　電圧保持回路４１を介してＢＡＴ４２に接続されているＥＣＵ３０Ｂは、たとえば、ブレーキ、パワーステアリング、車内エアコン、各種メータ、オーディオ、ナビゲーション装置、室内灯を制御するＥＣＵである。電圧保持回路４１を介さずにＢＡＴ４２に接続されているＥＣＵ３０Ａは上記以外のＥＣＵであって、たとえば、パワーウィンドウ、ドアミラーを制御するＥＣＵである。
　電圧保持回路４１は特定の回路構成に限定されない。一例として、電圧保持回路４１は、並列に接続された、図示しない抵抗およびダイオードと、当該並列接続に対して直列に接続されたコンデンサとを有する。電圧保持回路４１は、エンジン始動時などに過渡的に電圧降下したＢＡＴ４２の出力電圧を保持する。
　無線通信部１５は、携帯電話網などの広域通信網２に通信可能に接続され、車内通信線によりゲートウェイ１０に接続されている。ゲートウェイ１０は、広域通信網２を通じて管理サーバ５およびＤＬサーバ６などの車外装置から無線通信部１５が受信した情報を、車内通信線１６を介してＥＣＵ３０に送信する。
　ゲートウェイ１０は、ＥＣＵ３０から取得した情報を無線通信部１５に送信し、無線通信部１５は、その情報を管理サーバ５などの車外装置に送信する。
　また、ＥＣＵ３０同士は、車内通信線を介して情報を送受信する。
　車両１に搭載される無線通信部１５としては、車載の専用通信端末の他に、たとえば、ユーザが所有する携帯電話機、スマートフォン、タブレット型端末、ノートＰＣ（Personal　Computer）等の装置が考えられる。
　図１では、ゲートウェイ１０が無線通信部１５を介して車外装置と通信を行う場合が例示されているが、ゲートウェイ１０が無線通信の機能を有する場合には、ゲートウェイ１０自身が管理サーバ５などの車外装置と無線通信を行う構成としてもよい。
　また、図１のプログラム更新システムでは、管理サーバ５とＤＬサーバ６とが別個のサーバで構成されているが、これらのサーバ５，６を１つのサーバ装置で構成してもよい。また、管理サーバ５およびＤＬサーバ６は、いずれも、複数の装置からなるものであってもよい。
　〔ゲートウェイの内部構成〕
　図２は、ゲートウェイ１０の内部構成を示すブロック図である。
　図２に示すように、ゲートウェイ１０は、ＣＰＵ１１、ＲＡＭ（Random　Access　Memory）１２、記憶部１３、および車内通信部１４などを備える。ゲートウェイ１０は、無線通信部１５と車内通信線を介して接続されているが、これらは一つの装置で構成してもよい。
　ＣＰＵ１１は、記憶部１３に記憶された一または複数のプログラムをＲＡＭ１２に読み出して実行することにより、ゲートウェイ１０を各種情報の中継装置として機能させる。
　ＣＰＵ１１は、たとえば時分割で複数のプログラムを切り替えて実行することにより、複数のプログラムを並列的に実行可能である。なお、ＣＰＵ１１は複数のＣＰＵ群を代表するものであってもよい。この場合、ＣＰＵ１１の実現する機能は、複数のＣＰＵ群が協働して実現するものである。ＲＡＭ１２は、ＳＲＡＭ（Static　ＲＡＭ）またはＤＲＡＭ（Dynamic　ＲＡＭ）等のメモリ素子で構成され、ＣＰＵ１１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　ＣＰＵ１１が実現するコンピュータプログラムは、ＣＤ－ＲＯＭやＤＶＤ－ＲＯＭなどの周知の記録媒体に記録した状態で譲渡することもできるし、サーバコンピュータなどのコンピュータ装置からの情報伝送によって譲渡することもできる。
　この点は、後述のＥＣＵ３０のＣＰＵ３１（図３参照）が実行するコンピュータプログラム、および、後述の管理サーバ５のＣＰＵ５１（図４参照）が実行するコンピュータプログラムについても同様である。
　なお、以降の説明において、上位装置が下位装置にデータを転送（送信）することを「ダウンロードする」ともいう。
　記憶部１３は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子などにより構成されている。記憶部１３は、ＣＰＵ１１が実行するプログラムおよび実行に必要なデータ等を記憶するとともに、ＤＬサーバ６から受信した、ダウンロード対象の各ＥＣＵ３０の更新用プログラムなどを記憶する。
　車内通信部１４には、車両１に配設された車内通信線を介して複数のＥＣＵ３０が接続されている。車内通信部１４は、たとえばＣＡＮ（Controller　Area　Network）の規格に応じて、ＥＣＵ３０との通信（ＣＡＮ通信とも称する）を行う。車内通信部１４の採用する通信規格はＣＡＮに限定されず、ＣＡＮＦＤ（ＣＡＮ　with　Flexible　Data　Rate）、ＬＩＮ（Local　Interconnect　Network）、Ｅｔｈｅｒｎｅｔ（登録商標）、またはＭＯＳＴ（Media　Oriented　Systems　Transport：ＭＯＳＴは登録商標）等の規格であってもよい。複数の車内通信線の中には、通信規格の異なるものが含まれていてもよい。
　車内通信部１４は、ＣＰＵ１１から与えられた情報を対象のＥＣＵ３０へ送信するとともに、ＥＣＵ３０から受信した情報をＣＰＵ１１に与える。車内通信部１４は、上記の通信規格だけでなく、車内ネットワーク４に用いる他の通信規格によって通信してもよい。
　無線通信部１５は、アンテナと、アンテナからの無線信号の送受信を実行する通信回路とを含む無線通信機よりなる。無線通信部１５は、携帯電話網等の広域通信網２に接続されることにより車外装置との通信が可能である。
　無線通信部１５は、図示しない基地局により形成される広域通信網２を介して、ＣＰＵ１１から与えられた情報を管理サーバ５等の車外装置に送信するとともに、車外装置から受信した情報をＣＰＵ１１に与える。
　図２に示す無線通信部１５に代えて、車両１内の中継装置として機能する有線通信部を採用してもよい。この有線通信部は、ＵＳＢ（Universal　Serial　Bus）またはＲＳ２３２Ｃ等の規格に応じた通信ケーブルが接続されるコネクタを有し、通信ケーブルを介して接続された別の通信装置と有線通信を行う。
　別の通信装置と管理サーバ５等の車外装置とが広域通信網２を通じた無線通信が可能である場合には、車外装置→別の通信装置→有線通信部→ゲートウェイ１０の通信経路により、車外装置とゲートウェイ１０とが通信可能になる。
　〔ＥＣＵの内部構成〕
　図３は、ＥＣＵ３０の内部構成を示すブロック図である。
　図３に示すように、ＥＣＵ３０は、ＣＰＵ３１、ＲＡＭ３２、記憶部３３、および通信部３４などを備える。ＥＣＵ３０は、車両１に搭載された対象機器を個別に制御する車載制御装置である。ＥＣＵ３０の種類には、たとえば、電源制御ＥＣＵ、エンジン制御ＥＣＵ、ステアリング制御ＥＣＵ、およびドアロック制御ＥＣＵなどがある。
　ＣＰＵ３１は、記憶部３３に予め記憶された一または複数のプログラムをＲＡＭ３２に読み出して実行することにより、自身が担当する対象機器の動作を制御する。ＣＰＵ３１もまた複数のＣＰＵ群を代表するものであってもよく、ＣＰＵ３１による制御は、複数のＣＰＵ群が協働することによる制御であってもよい。
　ＲＡＭ３２は、ＳＲＡＭまたはＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ３１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　記憶部３３は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、或いは、ハードディスクなどの磁気記憶装置等により構成されている。
　記憶部３３は、ＣＰＵ３１が読み出して実行するプログラムを格納する。記憶部３３が記憶する情報には、たとえば、車内の制御対象である対象機器を制御するための情報処理をＣＰＵ３１に実行させるためのコンピュータプログラムや、パラメータや地図情報などの、当該プログラムを実行する際に用いるデータである制御プログラムが含まれる。
　通信部３４には、車両１に配設された車内通信線を介してゲートウェイ１０が接続されている。通信部３４は、たとえばＣＡＮ、Ｅｔｈｅｒｎｅｔ、またはＭＯＳＴ等の規格に応じて、ゲートウェイ１０との通信を行う。
　通信部３４は、ＣＰＵ３１から与えられた情報をゲートウェイ１０へ送信するとともに、ゲートウェイ１０から受信した情報をＣＰＵ３１に与える。通信部３４は、上記の通信規格だけなく、車載ネットワークに用いる他の通信規格によって通信してもよい。
　ＥＣＵ３０のＣＰＵ３１には、当該ＣＰＵ３１による制御モードを、「通常モード」または「リプログラミングモード」のいずれかに切り替える起動部３５が含まれる。
　ここで、通常モードとは、ＥＣＵ３０のＣＰＵ３１が、対象機器に対する本来的な制御（たとえば、燃料エンジンに対するエンジン制御や、ドアロックモータに対するドアロック制御など）を実行する制御モードのことである。
　リプログラミングモードとは、対象機器の制御に用いる制御プログラムを更新する制御モードである。
　すなわち、リプログラミングモードは、ＣＰＵ３１が、記憶部３３のＲＯＭ領域に対して、制御プログラムのデータの消去や書き換えを行う制御モードのことである。ＣＰＵ３１は、この制御モードのときにのみ、記憶部３３のＲＯＭ領域に格納された制御プログラムを新バージョンに更新することが可能となる。
　リプログラミングモードにおいてＣＰＵ３１が新バージョンの制御プログラムを記憶部３３に書き込むと、起動部３５は、ＥＣＵ３０をいったん再起動（リセット）させ、新バージョンの制御プログラムが書き込まれた記憶領域についてベリファイ処理を実行する。
　起動部３５は、上記のベリファイ処理の完了後に、ＣＰＵ３１を更新後の制御プログラムによって動作させる。
　ＤＬサーバ６からゲートウェイ１０を介してＥＣＵ３０に更新用プログラムがダウンロードされ、当該更新用プログラムを用いて制御プログラムを更新することを、オンライン更新とも称する。
　〔管理サーバの内部構成〕
　図４は、管理サーバ５の内部構成を示すブロック図である。
　図４に示すように、管理サーバ５は、ＣＰＵ５１、ＲＯＭ５２、ＲＡＭ５３、記憶部５４、および通信部５５などを備える。
　ＣＰＵ５１は、ＲＯＭ５２に予め記憶された一または複数のプログラムをＲＡＭ５３に読み出して実行することにより、各ハードウェアの動作を制御し、管理サーバ５をゲートウェイ１０と通信可能な車外装置として機能させる。ＣＰＵ５１もまた複数のＣＰＵ群を代表するものであってもよく、ＣＰＵ５１の実現する機能は、複数のＣＰＵ群が協働して実現するものであってもよい。
　ＲＡＭ５３は、ＳＲＡＭまたはＤＲＡＭ等のメモリ素子で構成され、ＣＰＵ５１が実行するプログラムおよび実行に必要なデータ等が一時的に記憶される。
　記憶部５４は、フラッシュメモリ若しくはＥＥＰＲＯＭ等の不揮発性のメモリ素子、または、ハードディスクなどの磁気記憶装置等により構成されている。
　通信部５５は、所定の通信規格に則って通信処理を実行する通信装置よりなり、携帯電話網等の広域通信網２に接続されて当該通信処理を実行する。通信部５５は、ＣＰＵ５１から与えられた情報を、広域通信網２を介して外部装置に送信するとともに、広域通信網２を介して受信した情報をＣＰＵ５１に与える。
　〔制御プログラムの更新シーケンス〕
　図５は、本実施形態のプログラム更新システムにおいて実行される、制御プログラムのオンライン更新の流れの一例を示すシーケンス図である。ＤＬサーバ６に１または複数の更新用プログラムが格納され、一例として、管理サーバ５が、予め登録された車両１について、当該車両１のＥＣＵの制御プログラムを更新するタイミングを決定する。更新のタイミングは、たとえば、車両１のカーメーカーなどによって設定されてもよい。
　なお、制御プログラムは、プログラムそのもののみならず、パラメータや地図情報などの、当該プログラムを実行する際に用いるデータも含む。それらを代表させて「制御プログラム」と表現している。そのため、更新用プログラムは、プログラムの更新用のプログラムのみならず、当該プログラムを実行する際に用いるデータの更新用のデータを含む。
　制御プログラムを更新するタイミングに達すると、管理サーバ５は、該当する車両１のゲートウェイ１０宛てに、更新を通知する（ステップＳ１）。ステップ１では、管理サーバ５からゲートウェイ１０に、ダウンロード要求とともに更新用プログラムの保存先ＵＲＬや更新用プログラムのサイズなどの更新用の情報が送られる。
　管理サーバ５から更新の通知を受信したゲートウェイ１０は、ＤＬサーバ６からダウンロードされる更新用プログラムを、制御プログラムを更新するＥＣＵ（以下、対象ＥＣＵ）３０に中継する。すなわち、ゲートウェイ１０は、更新用の情報に基づいてＤＬサーバ６に対して更新用プログラムのダウンロードを要求する（ステップＳ２）。
　ゲートウェイ１０からダウンロードが要求されたＤＬサーバ６は、ダウンロード対象の更新用プログラムをゲートウェイ１０に送信するとともに、制御プログラムの更新を要求する（ステップＳ３）。
　ゲートウェイ１０は、更新用プログラムをダウンロードすると、当該更新用プログラムを対象ＥＣＵ３０に転送し、制御プログラムの更新を要求する（ステップＳ４）。ゲートウェイ１０は、ユーザから更新の許可を受けることによって更新用プログラムを転送してもよい。
　また、ゲートウェイ１０は、当該車両１のエンジン始動を制御する始動制御処理を実行する（ステップＳ６）。始動制御処理については後述する。なお、図５では、ステップＳ４でゲートウェイ１０が対象ＥＣＵ３０に更新を要求した後に始動制御処理を開始する例が示されているが、始動制御処理は更新を要求するタイミングに関わらずに、常に実行されていてもよい。言い換えると、始動制御処理は、図５のオンライン更新の流れと並行して実行されていてもよい。
　更新用プログラムを受信した対象ＥＣＵ３０は、ゲートウェイ１０からの要求に従って更新用プログラムを展開し、制御プログラムを更新する（ステップＳ５）。制御プログラムの更新が完了すると、対象ＥＣＵ３０はゲートウェイ１０に更新完了を通知する（ステップＳ７）。この通知を受けたゲートウェイ１０は、ＤＬサーバ６に更新完了を通知する（ステップＳ８）。
　〔ゲートウェイの機能構成〕
　図５のステップＳ６の始動制御処理は、この順で実行される、下の３つの処理ＳＴＥＰ１～３を含む。
　　ＳＴＥＰ１：始動操作の有無を監視する監視処理
　　ＳＴＥＰ２：始動操作に応じたＳＴ４３の始動の可否を判定する判定処理
　　ＳＴＥＰ３：判定処理における判定結果に従ってＳＴ４３を始動させる始動制御処理
　図２を参照して、ゲートウェイ１０のＣＰＵ１１は、始動制御処理を実行するための機能として、監視処理を実行する監視部１１１と、判定処理を実行する判定部１１２と、始動制御処理を実行する制御部１１３と、を含む。これら機能は、ＣＰＵ１１が記憶部１３に記憶されている１つまたは複数のプログラムを読み出して実行することによって、ＣＰＵ１１において実現される機能である。しかしながら、当該機能の少なくとも一部が、電子回路などのハードウェアによって実現されてもよい。
　監視部１１１で表されたＣＰＵ１１の機能（以下、監視部１１１）は、ＳＴ４３を制御するＥＣＵ３０Ｃから受信するフレームを監視することによって、始動操作が行われたか否かを監視する。
　判定部１１２で表されたＣＰＵ１１の機能（以下、判定部１１２）は、監視部１１１によって始動操作が検出されると、当該始動操作に従ったＳＴ４３の始動、つまりエンジン始動の可否を判定する。判定部１１２は、制御プログラムを更新中の対象ＥＣＵが特定のＥＣＵである場合には、エンジン始動を許可しない。このため、ゲートウェイ１０の記憶部１３には、エンジン始動を許可する、または許可しないＥＣＵを特定可能な参照テーブルＴＡが予め記憶されている。判定部１１２は、監視部１１１によって始動操作が行われたことが検出されると、始動操作の検出時における対象ＥＣＵでの更新状況と、参照テーブルＴＡとに基づいて、始動操作に従ったエンジンの始動の可否を判定する。すなわち、対象ＥＣＵが参照テーブルＴＡにおいて更新中にエンジン始動が許可されているＥＣＵであるか否か、または更新中にエンジン始動が許可されていないＥＣＵであるか否かを判定することによって、始動操作に従ったエンジン始動の可否を判定する。
　図２に示された参照テーブルＴＡは、一例としてＥＣＵごとに、当該ＥＣＵにおいて更新中にエンジン始動を許可するか否かを規定する。参照テーブルＴＡは、他の例として、エンジン始動を許可するＥＣＵのみを規定するテーブルでもよい。この場合、判定部１１２は、当該テーブルに規定されていないＥＣＵはエンジン始動が不可と判定する。または、参照テーブルＴＡは、エンジン始動を許可しないＥＣＵのみを規定するテーブルでもよい。この場合、判定部１１２は、当該テーブルに規定されていないＥＣＵはエンジン始動が可と判定する。
　具体的に、判定部１１２は、下記の条件１を満たす場合にはエンジンの始動を不可と判定し、下記の条件２または条件３を満たす場合にはエンジンの始動を可と判定する。
　　条件１：始動操作検出時に更新中のＥＣＵがあり、かつ、対象ＥＣＵが非許可ＥＣＵであること
　　条件２：始動操作検出時に更新中のＥＣＵがないこと
　　条件３：始動操作検出時に更新中のＥＣＵがあり、かつ、対象ＥＣＵが許可ＥＣＵであること
　このように参照テーブルＴＡを用いることによって、容易に、かつ、高精度でエンジン始動の可否を判定することができる。
　好ましくは、参照テーブルＴＡは、ＥＣＵが許可ＥＣＵであること、または非許可ＥＣＵであることを、下の（Ａ）または（Ｂ）により規定する。または、下の（Ａ）と（Ｂ）との組合せにより規定してもよい。
　　（Ａ）電源に対する接続関係
　　（Ｂ）記憶部３３の構成
　参照テーブルＴＡが（Ａ）により許可／非許可ＥＣＵを規定する場合、許可ＥＣＵおよび非許可ＥＣＵはそれぞれ以下のＥＣＵである。
　　許可ＥＣＵ：電圧保持回路４１を介してＢＡＴ４２に接続されたＥＣＵ
　　非許可ＥＣＵ：電圧保持回路４１を介さずにＢＡＴ４２に接続されたＥＣＵ
　図１の例ではＥＣＵ３０Ｂが許可ＥＣＵであり、ＥＣＵ３０Ａが非許可ＥＣＵである。
　ＢＡＴ４２に電圧保持回路４１を介さずに接続されたＥＣＵ３０Ａは、エンジン始動に伴うＢＡＴ４２の電圧低下によって更新に必要な電力が供給されなくなるおそれがある。そのため、ＥＣＵ３０Ａにおいて更新中であると、更新が失敗する場合がある。そのため、エンジン始動を許可しないことによって、更新の失敗を回避できる。
　これに対して、ＢＡＴ４２に電圧保持回路４１を介して接続されたＥＣＵ３０Ｂは、エンジン始動に伴うＢＡＴ４２の電圧が低下した場合であっても供給電力は保持される。そのため、ＥＣＵ３０Ｂにおいて更新中であっても、電力低下の影響を受けない。このため、エンジン始動が許可されることによって、ユーザ操作に従ってエンジンを始動しつつ更新も継続することができる。
　参照テーブルＴＡが（Ｂ）により許可／非許可ＥＣＵを規定する場合、許可ＥＣＵおよび非許可ＥＣＵはそれぞれ以下のＥＣＵである。
　　許可ＥＣＵ：記憶部３３に第１メモリ３３１と第２メモリ３３２との両方が含まれるＥＣＵ
　　非許可ＥＣＵ：記憶部３３に第１メモリ３３１が含まれ第２メモリ３３２が含まれないＥＣＵ
　なお、上記第１メモリ３３１および第２メモリ３３２は図３に示されており、それぞれ、次の機能を有する記憶領域である。
　　第１メモリ：ＣＰＵ３１が読み出して実行するプログラムを格納するための機能用メモリ
　　第２メモリ：プログラムのバックアップに用いられる待機用メモリ
　記憶部３３に第１メモリ３３１が含まれ第２メモリ３３２が含まれないＥＣＵ３０は、更新中にエンジン始動に伴うＢＡＴ４２の電圧低下によって更新が失敗した場合、該ＥＣＵの制御プログラムを更新前の制御プログラムに戻さないとエンジンの始動が失敗するおそれがある。そのため、当該ＥＣＵについてエンジン始動を許可しないことによって、エンジンの始動の失敗を回避できる。
　これに対して、記憶部３３に第１メモリ３３１と第２メモリ３３２との両方が含まれるＥＣＵ３０では、一方のメモリに更新前の制御プログラムが保持して、他方のメモリにおいて制御プログラムの更新が行われる。そのため、更新中にエンジン始動に伴うＢＡＴ４２の電圧低下によって更新が失敗した場合であっても、保持されている更新前の制御プログラムを用いることができる。これより、始動操作に従ったエンジン始動の失敗を回避できる。
　制御部１１３で表されたＣＰＵ１１の機能（以下、制御部１１３）は、判定部１１２での判定結果がエンジン始動可である場合、ＳＴ４３を制御するＥＣＵ３０（図１中のＥＣＵ３０Ｃ）に対して、ＳＴ４３の始動を指示する。このため、制御部１１３は、ＥＣＵ３０Ｃとの間のＣＡＮ通信で送信される情報であるフレームを生成する。当該フレームには、ＳＴ４３の始動を指示するデータが含まれる。当該フレームは、車内通信部１４によってＥＣＵ３０Ｃに送信される。
　判定部１１２での判定結果がエンジン始動不可である場合、制御部１１３は上記の始動制御処理を実行しない。好ましくは、制御部１１３は、エンジン始動が不許可であることを、ユーザインタフェース装置７によってユーザに報知する始動制御処理を実行する。ユーザインタフェース装置７がディスプレイである場合、判定部１１２は、たとえば図６Ａの報知画面をユーザインタフェース装置７に表示させる。そのため、制御部１１３は、ユーザインタフェース装置７を制御するＥＣＵ３０Ｄに送信されるフレームを生成する。当該フレームには、図６Ａの報知画面の表示を指示するデータが含まれる。当該フレームは、車内通信部１４によってＥＣＵ３０Ｃに送信される。
　より好ましくは、制御部１１３は、対象ＥＣＵにおいて更新完了までに要する時間（更新時間）Ｘを取得し、当該フレームに含める。更新時間Ｘは管理サーバ５から取得してもよいし、管理サーバ５から取得した更新用プログラムのサイズと予め記憶している対象ＥＣＵの処理能力とから算出してもよい。これにより、図６Ａに示されたように、エンジン始動が可能になるまでの時間をユーザインタフェース装置７に表示させることができる。
　なお、他の例として、ユーザインタフェース装置７がタッチパネルなどのユーザ操作を受け付ける装置である場合、制御部１１３は、更新の中断を指示するユーザ操作を受け付ける図６Ｂの報知画面をユーザインタフェース装置７に表示させてもよい。当該ユーザ操作を受け付けると、制御部１１３は、対象ＥＣＵに対して更新の中断を指示する。これにより、ユーザは、制御プログラムの更新よりもエンジン始動を優先させることができる。
　〔始動制御処理〕
　図７は、図５のステップＳ６の始動制御処理の具体例を表したフローチャートである。図７のフローチャートに表された処理は、ゲートウェイ１０のＣＰＵ１１が、記憶部１３に記憶された１つまたは複数のプログラムをＲＡＭ１２上に読み出して実行することによって図２に示された各機能を実現することで実行される。図７の処理は、ゲートウェイ１０が起動すると開始されてもよいし、ステップＳ４で対象ＥＣＵに更新を要求した後に開始されてもよい。
　図７を参照して、ＣＰＵ１１は、ＳＴ４３を制御するＥＣＵ３０Ｃから受信するフレームを監視することによって、始動操作が行われたか否かを監視する。始動操作が検出されると（ステップＳ１０１でＹＥＳ）、ＣＰＵ１１は、制御プログラムの更新中であるＥＣＵがあるか否かを確認する。始動操作が行われた時点で制御プログラムを更新中のＥＣＵがない場合には（ステップＳ１０３でＮＯ）（上記条件２）、参照テーブルＴＡを読み取ることなく、始動操作に従ったエンジン始動が可と判定する（ステップＳ１０９）。この場合、ＣＰＵ１１は、ＳＴ４３を制御するＥＣＵ３０ＣにＳＴ４３の始動を指示するデータを含むフレームを生成し、当該フレームを車内通信部１４にＥＣＵ３０Ｃに送信させる。これにより、ユーザの始動操作に従ってＳＴ４３が始動し、エンジンが始動する。
　始動操作が行われた時点で制御プログラムを更新中のＥＣＵがある場合（ステップＳ１０３でＹＥＳ）、ＣＰＵ１１は記憶部１３の参照テーブルＴＡを読み取り（ステップＳ１０５）、当該対象ＥＣＵが許可ＥＣＵであるか非許可ＥＣＵであるかによって、ＳＴ４３の始動、つまり、エンジン始動の可否を判定する。
　対象ＥＣＵが許可ＥＣＵである場合（上記条件３）（ステップＳ１０７でＹＥＳ）、ＣＰＵ１１は、始動操作に従ったエンジン始動が可と判定する（ステップＳ１０９）。この場合、ＣＰＵ１１は、ＳＴ４３を制御するＥＣＵ３０ＣにＳＴ４３の始動を指示するデータを含むフレームを生成し、当該フレームを車内通信部１４にＥＣＵ３０Ｃに送信させる。これにより、ユーザの始動操作に従ってＳＴ４３が始動し、エンジンが始動する。
　対象ＥＣＵが非許可ＥＣＵである場合（上記条件１）（ステップＳ１０７でＮＯ）、ＣＰＵ１１は、始動操作に従ったエンジン始動が不可と判定する（ステップＳ１１１）。この場合、ＣＰＵ１１は、ＥＣＵ３０Ｃに対して上記のフレームを送信する処理を実行しない。または、ＳＴ４３を始動しないことを指示するデータを含むフレームを生成し、当該フレームを車内通信部１４にＥＣＵ３０Ｃに送信させる。これにより、ユーザが始動操作を行ってもＳＴ４３が始動せず、エンジンが始動しない。
　さらに、好ましくは、ＣＰＵ１１は、ユーザインタフェース装置７がディスプレイである場合に図６Ａや図６Ｂの報知画面を表示させるためのフレームを生成し、車内通信部１４にユーザインタフェース装置７を制御するＥＣＵ３０Ｄに当該フレームを送信させる。これにより、ユーザインタフェース装置７には図６Ａや図６Ｂの報知画面が表示され、ユーザは、始動操作に従ってエンジン始動しない理由を知ることができる。
　より好ましくは、ＣＰＵ１１は対象ＥＣＵでの更新時間を取得し、図６Ａや図６Ｂのように報知画面に表示させるようにＥＣＵ３０Ｄに送信するフレームに含める。これにより、ユーザは、エンジンが始動可能な状態となるまでの時間を知ることができる。より好ましくは、ＣＰＵ１１は図６Ｂの報知画面において更新の中断の指示を受け付けると、対象ＥＣＵに更新処理の中止を指示するフレームを生成して車内通信部１４に送信させる。これにより、ユーザは、制御プログラムの更新よりもエンジン始動を優先させることができる。
　〔第１の実施の形態の効果〕
　第１の実施の形態にかかるプログラム更新システムでは、始動操作が検出されたときに制御プログラムの更新中であるＥＣＵがあり、かつ、対象ＥＣＵが参照テーブルＴＡにおいて非許可ＥＣＵと規定されている場合に、当該始動操作に従ってエンジンが始動されない。そのため、ＳＴ４３の始動に伴う電圧低下によって制御プログラムの更新が不成功となったためにエンジン始動が失敗することが回避される。
　たとえば、対象ＥＣＵが電圧保持回路４１を介さずにＢＡＴ４２に接続されたＥＣＵの場合、当該始動操作に従ってエンジンが始動されない。そのため、ＳＴ４３の始動に伴う電圧低下によって制御プログラムの更新が不成功となることが回避される。
　またたとえば、対象ＥＣＵが第１メモリ３３１のみを有して第２メモリ３３２を有しない場合には当該始動操作に従ってエンジンが始動されず、第２メモリ３３２を有する場合にエンジンが始動する。これにより、ＳＴ４３の始動に伴う電圧低下によって制御プログラムの更新が不成功となっても、始動動作に従ってエンジン始動することが可能になる。
　＜第２の実施の形態＞
　参照テーブルＴＡが（Ｂ）により許可／非許可ＥＣＵを規定する場合、許可ＥＣＵおよび非許可ＥＣＵは上記の例に限定されない。図８は、車両１の電源構成の他の例を表した概略図である。図８に示された車両１は、電源系としてメインバッテリ（メインＢＡＴ）４２Ａとサブバッテリ（サブＢＡＴ）４２Ｂとの複数の電源を有する。
　メインＢＡＴ４２Ａは、電源線１７を介して接続されたＳＴ４３、ＥＣＵ３０Ａ、および、リレー回路４４がＯＮの場合には、さらにリレー回路４４を介して接続されたＥＣＵ３０Ｂに電力を供給する。リレー回路４４がＯＦＦの場合には、サブＢＡＴ４２Ｂは、電源線１７を介して接続されたＥＣＵ３０Ｂに電力を供給する。
　メインＢＡＴ４２Ａに電源線１７を介して接続されたＥＣＵ３０Ａに、さらに他のＥＣＵ（図８中のＥＣＵ３０Ｅ）が接続される場合、メインＢＡＴ４２Ａは、ＥＣＵ３０Ａを介してＥＣＵ３０Ｅにも電力を供給する。
　車両１の電源構成が図８の構成である場合であって参照テーブルＴＡが（Ｂ）により許可／非許可ＥＣＵを規定する場合、一例として、許可ＥＣＵおよび非許可ＥＣＵはそれぞれ以下のＥＣＵである。
　　許可ＥＣＵ：サブＢＡＴ４２Ｂに接続されたＥＣＵ
　　非許可ＥＣＵ：サブＢＡＴ４２Ｂに接続されずメインＢＡＴ４２Ａのみに接続されたＥＣＵ
　図８の例ではＥＣＵ３０Ｂが許可ＥＣＵであり、ＥＣＵ３０Ａが非許可ＥＣＵである。
　サブＢＡＴ４２Ｂに接続されたＥＣＵ３０Ｂは、エンジン始動に伴ってメインＢＡＴ４２Ａの電圧が低下した場合であってもサブＢＡＴ４２Ｂから電力が供給される。そのため、更新中であってもメインＢＡＴ４２Ａの電力低下の影響を受けない。これより、エンジン始動が許可されることによって、ユーザ操作に従ってエンジンを始動しつつ更新も継続することができる。
　＜第３の実施の形態＞
　図１に示された参照テーブルＴＡは、車両１に搭載されるＥＣＵごとに許可／非許可ＥＣＵを規定する。しかしながら、参照テーブルＴＡは、すべてのＥＣＵについて許可／非許可ＥＣＵを規定しなくてもよい。たとえば、当該テーブルＴＡがゲートウェイ１０の記憶部１３に格納された後に新たに搭載されたＥＣＵなど、一部のＥＣＵについて記載されていない場合もあり得る。
　対象ＥＣＵが参照テーブルＴＡに許可／非許可ＥＣＵが規定されていない場合であって、かつ、規定されているＥＣＵ（仲介ＥＣＵとも言う）を介して電源に接続されている場合、判定部１１２は、対象ＥＣＵの仲介ＥＣＵに対する接続関係に基づいて、エンジン始動の可否を判定する。すなわち、判定部１１２は、仲介ＥＣＵが参照テーブルＴＡにおいて許可ＥＣＵであるか非許可ＥＣＵであるかに基づいてエンジン始動の可否を判定する。
　対象ＥＣＵが図８に示されたＥＣＵ３０Ｅであって、ＥＣＵ３０Ｅが参照テーブルＴＡにおいてエンジン始動の許否が規定されていない場合、判定部１１２は、ＥＣＵ３０Ｅが接続されているＥＣＵ３０Ａ－１を仲介ＥＣＵとして、ＥＣＵ３０Ａ－１が参照テーブルＴＡにおいて許可ＥＣＵであるか非許可ＥＣＵであるかを判定する。上記したようにＥＣＵ３０Ａ－１は非許可ＥＣＵであるため、判定部１１２は、エンジン始動が不可と判定する。
　電源の電圧低下の影響を受けるために非許可ＥＣＵとして規定されているＥＣＵ３０（第１ＥＣＵ）を介して当該電源から電力供給を受けるＥＣＵ３０（第２ＥＣＵ）は、第１ＥＣＵと同様に当該電源の電力低下の影響を受ける。そのため、このようなＥＣＵが更新中にエンジン始動を許可しないことによって、当該ＥＣＵにおける更新の失敗を回避できる。
　開示された特徴は、１つ以上のモジュールによって実現される。たとえば、当該特徴は、回路素子その他のハードウェアモジュールによって、当該特徴を実現する処理を規定したソフトウェアモジュールによって、または、ハードウェアモジュールとソフトウェアモジュールとの組み合わせによって実現され得る。
　上述の動作をコンピュータに実行させるための、１つ以上のソフトウェアモジュールの組み合わせであるプログラムとして提供することもできる。このようなプログラムは、コンピュータに付属するフレキシブルディスク、ＣＤ－ＲＯＭ（Compact　Disk-Read　Only　Memory）、ＲＯＭ、ＲＡＭおよびメモリカードなどのコンピュータ読取り可能な記録媒体にて記録させて、プログラム製品として提供することもできる。あるいは、コンピュータに内蔵するハードディスクなどの記録媒体にて記録させて、プログラムを提供することもできる。また、ネットワークを介したダウンロードによって、プログラムを提供することもできる。
　なお、本開示にかかるプログラムは、コンピュータのオペレーティングシステム（ＯＳ）の一部として提供されるプログラムモジュールのうち、必要なモジュールを所定の配列で所定のタイミングで呼出して処理を実行させるものであってもよい。その場合、プログラム自体には上記モジュールが含まれずＯＳと協働して処理が実行される。このようなモジュールを含まないプログラムも、本開示にかかるプログラムに含まれ得る。
　また、本開示にかかるプログラムは他のプログラムの一部に組込まれて提供されるものであってもよい。その場合にも、プログラム自体には上記他のプログラムに含まれるモジュールが含まれず、他のプログラムと協働して処理が実行される。このような他のプログラムに組込まれたプログラムも、本開示にかかるプログラムに含まれ得る。提供されるプログラム製品は、ハードディスクなどのプログラム格納部にインストールされて実行される。なお、プログラム製品は、プログラム自体と、プログラムが記録された記録媒体とを含む。
　今回開示された実施の形態はすべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて請求の範囲によって示され、請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。
　１　車両
　２　広域通信網
　４　車内ネットワーク
　５　管理サーバ
　６　ＤＬサーバ
　７　ユーザインタフェース装置
　１０　ゲートウェイ（制御装置）
　１１　ＣＰＵ
　１２　ＲＡＭ
　１３　記憶部
　１４　車内通信部
　１５　無線通信部
　１６　車内通信線
　１７　電源線
　３０，３０Ａ～３０Ｅ　ＥＣＵ
　３１　ＣＰＵ
　３２　ＲＡＭ
　３３　記憶部
　３４　通信部
　３５　起動部
　４１　電圧保持回路
　４２　ＢＡＴ
　４２Ａ　メインＢＡＴ
　４２Ｂ　サブＢＡＴ
　４３　ＳＴ
　４４　リレー回路
　５１　ＣＰＵ
　５２　ＲＯＭ
　５３　ＲＡＭ
　５４　記憶部
　５５　通信部
　１１１　監視部
　１１２　判定部
　１１３　制御部
　３３１　第１メモリ
　３３２　第２メモリ（制御プログラムのバックアップ用のメモリ）
　ＴＡ　参照テーブル

Claims (11)

  1. 　１または複数の車載制御装置と車内通信線を介して通信する通信部と、
    　前記車載制御装置が下記の許可装置であるか非許可装置であるかを規定する参照テーブルを記憶する記憶部と、
    　エンジンの始動を指示するユーザ操作の有無を監視する監視部と、
    　前記ユーザ操作の検出時における前記車載制御装置での制御プログラムの更新状況と、前記参照テーブルとに基づいて、前記ユーザ操作に従った前記エンジンの始動の可否を判定する判定部と、を備える、制御装置。
    　　許可装置：制御プログラムの更新中のエンジン始動を許可する車載制御装置
    　　非許可装置：制御プログラムの更新中のエンジン始動を許可しない車載制御装置
  2. 　前記判定部は、下記の条件１を満たす場合には前記エンジンの始動を不可と判定し、下記の条件２または条件３を満たす場合には前記エンジンの始動を可と判定する、請求項１に記載の制御装置。
    　　条件１：前記エンジンの始動を指示する前記ユーザ操作の検出時に前記制御プログラムの更新中であり、かつ、前記非許可装置である車載制御装置があること
    　　条件２：前記エンジンの始動を指示する前記ユーザ操作の検出時に前記制御プログラムの更新中である車載制御装置がないこと
    　　条件３：前記エンジンの始動を指示する前記ユーザ操作の検出時に前記制御プログラムの更新中であり、かつ、前記許可装置である車載制御装置があること
  3. 　前記許可装置は電圧保持回路を介して前記エンジン始動のためのスタータに電力供給する第１電源と接続されている車載制御装置であり、前記非許可装置は前記電圧保持回路を介さずに前記第１電源と接続されている車載制御装置である、請求項１または請求項２に記載の制御装置。
  4. 　前記許可装置は前記エンジン始動のためのスタータに電力供給しない第２電源と接続されている車載制御装置であり、前記非許可装置は前記第２電源と接続されずに前記エンジン始動のためのスタータに電力供給する第１電源と接続されている車載制御装置である、請求項１または請求項２に記載の制御装置。
  5. 　前記判定部は、前記車載制御装置が前記参照テーブルにおいて前記許可装置と規定された車載制御装置を介して前記第１電源と接続されている場合には前記車載制御装置を前記許可装置として前記エンジンの始動の可否を判定する、請求項３または請求項４に記載の制御装置。
  6. 　前記許可装置は、下記の装置群に含まれる複数の装置それぞれを制御する車載制御装置のうちの少なくとも１つである、請求項３～請求項５のいずれか１項に記載の制御装置。
    　　装置群：ブレーキ、パワーステアリング、車内エアコン、メータ、オーディオ、ナビゲーション装置、室内灯
  7. 　前記許可装置は前記制御プログラムのバックアップ用のメモリを有する車載制御装置であり、前記非許可装置は前記バックアップ用のメモリを有さない車載制御装置である、請求項１または請求項２に記載の制御装置。
  8. 　前記通信部を制御する制御部をさらに備え、
    　前記制御部は、前記判定部によって前記エンジンの始動が可と判定された場合に、前記通信部に、前記エンジンを制御する車載制御装置に前記エンジンの始動の指示を送信させる、請求項１～請求項７のいずれか１項に記載の制御装置。
  9. 　前記制御部は、前記判定部によって前記エンジンの始動が不可と判定された場合に、前記通信部に、ユーザインタフェース装置を制御する車載制御装置に前記エンジンの始動が不可であることをユーザに報知する指示を送信させる、請求項８に記載の制御装置。
  10. 　１または複数の車載制御装置と車内通信線を介して通信する制御装置による、前記車載制御装置の制御方法であって、
    　前記制御装置は、前記車載制御装置が下記の許可装置であるか非許可装置であるかを規定する参照テーブルを記憶し、
    　エンジンの始動を指示するユーザ操作の有無を監視するステップと、
    　前記ユーザ操作の検出時における前記車載制御装置での制御プログラムの更新状況と、前記参照テーブルとに基づいて、前記ユーザ操作に従った前記エンジンの始動の可否を判定するステップと、を備える、制御方法。
    　　許可装置：制御プログラムの更新中のエンジン始動を許可する車載制御装置
    　　非許可装置：制御プログラムの更新中のエンジン始動を許可しない車載制御装置
  11. 　１または複数の車載制御装置と車内通信線を介して通信する制御装置としてコンピュータを機能させるためのコンピュータプログラムであって、
    　前記コンピュータは、前記車載制御装置が下記の許可装置であるか非許可装置であるかを規定する参照テーブルを記憶し、
    　前記コンピュータを、
    　エンジンの始動を指示するユーザ操作の有無を監視する監視部、および
    　前記ユーザ操作の検出時における前記車載制御装置での制御プログラムの更新状況と、前記参照テーブルとに基づいて、前記ユーザ操作に従った前記エンジンの始動の可否を判定する判定部、として機能させる、コンピュータプログラム。
    　　許可装置：制御プログラムの更新中のエンジン始動を許可する車載制御装置
    　　非許可装置：制御プログラムの更新中のエンジン始動を許可しない車載制御装置
PCT/JP2018/015553 2017-08-10 2018-04-13 制御装置、制御方法、およびコンピュータプログラム WO2019030984A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
DE112018004090.9T DE112018004090T5 (de) 2017-08-10 2018-04-13 Steuervorrichtung, Steuerverfahren und Computerprogramm
JP2018541380A JP6465258B1 (ja) 2017-08-10 2018-04-13 制御装置、制御方法、およびコンピュータプログラム
US16/342,121 US10625754B2 (en) 2017-08-10 2018-04-13 Control apparatus, control method, and computer program
CN201880051827.1A CN111032438B (zh) 2017-08-10 2018-04-13 控制设备、控制方法和计算机程序

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2017-155361 2017-08-10
JP2017155361 2017-08-10

Publications (1)

Publication Number Publication Date
WO2019030984A1 true WO2019030984A1 (ja) 2019-02-14

Family

ID=65272099

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2018/015553 WO2019030984A1 (ja) 2017-08-10 2018-04-13 制御装置、制御方法、およびコンピュータプログラム

Country Status (5)

Country Link
US (1) US10625754B2 (ja)
JP (1) JP6465258B1 (ja)
CN (1) CN111032438B (ja)
DE (1) DE112018004090T5 (ja)
WO (1) WO2019030984A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210141629A1 (en) * 2019-11-08 2021-05-13 Toyota Jidosha Kabushiki Kaisha Program update system and vehicle management server

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6135723B2 (ja) * 2015-08-20 2017-05-31 コベルコ建機株式会社 建設機械及びこれを備えたプログラム書き換えシステム
JP6897630B2 (ja) * 2018-05-11 2021-07-07 株式会社オートネットワーク技術研究所 車載更新装置、更新処理方法及び更新処理プログラム
EP3623939A1 (en) * 2018-08-14 2020-03-18 Hyundai Motor Company Method and apparatus for wirelessly updating software for vehicle
JP6902722B2 (ja) * 2019-03-07 2021-07-14 パナソニックＩｐマネジメント株式会社 プログラム更新システム、制御システム、移動体、プログラム更新方法及びプログラム
CN110162330B (zh) * 2019-07-08 2021-04-13 上海赫千电子科技有限公司 一种应用于汽车ecu升级文件的系统及方法
JP2022175440A (ja) * 2021-05-13 2022-11-25 トヨタ自動車株式会社 センタ、更新制御方法、更新制御プログラム、ｏｔａマスタ

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013002958A (ja) * 2011-06-16 2013-01-07 Fujitsu Ten Ltd サーバ装置、プログラム提供システム、プログラム提供方法、及び、プログラム
JP2016218932A (ja) * 2015-05-26 2016-12-22 京セラ株式会社 ソフトウェア更新装置およびソフトウェア更新システム
JP2017027549A (ja) * 2015-07-28 2017-02-02 矢崎総業株式会社 ソフトウェア更新装置及びソフトウェア更新システム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4494736B2 (ja) * 2003-08-08 2010-06-30 株式会社東海理化電機製作所 エンジン始動制御装置
JP4639878B2 (ja) * 2005-03-18 2011-02-23 トヨタ自動車株式会社 車両システム起動制御装置
DE102009002086A1 (de) * 2009-04-01 2010-10-07 Ford Global Technologies, LLC, Dearborn Vorrichtung und Verfahren für das Umprogrammieren einer programmierbaren Einheit in einem Kraftfahrzeug
DE102010008816A1 (de) * 2010-02-22 2011-08-25 Continental Automotive GmbH, 30165 Verfahren zur Online-Kommunikation
JP5629927B2 (ja) * 2010-11-12 2014-11-26 クラリオン株式会社 車載機のオンライン更新方法
KR101360705B1 (ko) * 2011-09-22 2014-02-07 기아자동차주식회사 차량 업그레이드 시스템 및 그 방법
JP5982902B2 (ja) 2012-03-15 2016-08-31 日産自動車株式会社 車両の制御装置
CN202851229U (zh) * 2012-09-11 2013-04-03 南昌天元汽车配件工业有限公司 一种汽车起动机智能保护装置
US9366216B2 (en) * 2012-09-14 2016-06-14 Ford Global Technologies, Llc User interface for automatic start-stop system and method of controlling the same
US9079582B2 (en) * 2013-08-30 2015-07-14 Ford Global Technologies, Llc Method and system to enable a coast-down mode
JP6373038B2 (ja) 2014-04-01 2018-08-15 古河電気工業株式会社 バッテリ昇圧装置
JP5997740B2 (ja) 2014-09-17 2016-09-28 クラリオン株式会社 車載機のオンライン更新方法
JP6699020B2 (ja) 2016-03-01 2020-05-27 グンゼ株式会社 下半身用衣類

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013002958A (ja) * 2011-06-16 2013-01-07 Fujitsu Ten Ltd サーバ装置、プログラム提供システム、プログラム提供方法、及び、プログラム
JP2016218932A (ja) * 2015-05-26 2016-12-22 京セラ株式会社 ソフトウェア更新装置およびソフトウェア更新システム
JP2017027549A (ja) * 2015-07-28 2017-02-02 矢崎総業株式会社 ソフトウェア更新装置及びソフトウェア更新システム

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210141629A1 (en) * 2019-11-08 2021-05-13 Toyota Jidosha Kabushiki Kaisha Program update system and vehicle management server
US11704106B2 (en) * 2019-11-08 2023-07-18 Toyota Jidosha Kabushiki Kaisha Program update system and vehicle management server
US20230305835A1 (en) * 2019-11-08 2023-09-28 Toyota Jidosha Kabushiki Kaisha Program update system and vehicle management server

Also Published As

Publication number Publication date
US20190256109A1 (en) 2019-08-22
JP6465258B1 (ja) 2019-02-06
DE112018004090T5 (de) 2020-05-20
US10625754B2 (en) 2020-04-21
CN111032438A (zh) 2020-04-17
CN111032438B (zh) 2023-05-02
JPWO2019030984A1 (ja) 2019-11-07

Similar Documents

Publication Publication Date Title
JP6465258B1 (ja) 制御装置、制御方法、およびコンピュータプログラム
JP6519708B2 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP6376312B1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP6962252B2 (ja) プログラム更新システム、プログラム更新方法及びコンピュータプログラム
JP6332580B1 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP6897417B2 (ja) 制御装置、制御方法、およびコンピュータプログラム
JP6566144B2 (ja) 制御装置、制御方法、およびコンピュータプログラム
JP2017157004A (ja) プログラム更新システム、プログラム更新方法及びコンピュータプログラム
WO2018185994A1 (ja) 制御装置、転送方法、およびコンピュータプログラム
WO2017208890A1 (ja) 制御装置、制御方法及びコンピュータプログラム
JP6394678B2 (ja) 制御装置、制御プログラムの更新可否の決定方法、及びコンピュータプログラム
JP6620891B2 (ja) 中継装置、中継方法、およびコンピュータプログラム
WO2018230314A1 (ja) 制御装置、制御方法、およびコンピュータプログラム
WO2017195389A1 (ja) 車載制御装置、制御方法及びコンピュータプログラム
WO2018230084A1 (ja) 更新制御装置、制御方法、およびコンピュータプログラム
JP6547904B2 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP6358286B2 (ja) 制御装置、プログラム更新方法、およびコンピュータプログラム
JP6907803B2 (ja) 制御装置、制御方法、およびコンピュータプログラム
JP7484814B2 (ja) 車両用電子制御装置及び更新プログラム
JP2023019099A (ja) 車両用のシステム、センタ、方法、及びプログラム
WO2018189951A1 (ja) 中継装置、中継方法、およびコンピュータプログラム

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2018541380

Country of ref document: JP

Kind code of ref document: A

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18844025

Country of ref document: EP

Kind code of ref document: A1

122 Ep: pct application non-entry in european phase

Ref document number: 18844025

Country of ref document: EP

Kind code of ref document: A1